Se ha detectado la explotación activa de una vulnerabilidad de severidad alta (CVE-2026-20230) en Cisco Unified Communications Manager. Este fallo de tipo SSRF permite a atacantes remotos no autenticados escribir archivos en el sistema y obtener privilegios de root. Cisco ya ha lanzado actualizaciones de seguridad para mitigar este riesgo.




Una vulnerabilidad de SSRF de severidad alta, identificada como CVE-2026-20230, en el servidor Cisco Unified Communications Manager está siendo explotada actualmente en ataques.

Cisco publicó actualizaciones de seguridad para el fallo CVE-2026-20230 el 3 de junio, advirtiendo que la explotación podría otorgar a los atacantes privilegios de root en el dispositivo.

"Una vulnerabilidad en Cisco Unified Communications Manager (Unified CM) y Cisco Unified Communications Manager Session Management Edition (Unified CM SME) podría permitir que un atacante remoto no autenticado lleve a cabo ataques de falsificación de solicitudes del lado del servidor (SSRF) a través de un dispositivo afectado", advirtió Cisco aquí.


"Esta vulnerabilidad se debe a una validación de entrada incorrecta para solicitudes HTTP específicas. Un atacante podría explotar esta vulnerabilidad enviando una solicitud HTTP manipulada a un dispositivo afectado. Un exploit exitoso podría permitir al atacante escribir archivos en el sistema operativo subyacente que podrían usarse posteriormente para elevar privilegios a root".

El fallo fue revelado a Cisco por SSD Secure, quienes no compartieron detalles técnicos en aquel momento.

Hoy, la firma de inteligencia de amenazas Defused advirtió que el fallo está siendo explotado activamente en ataques.

"Durante el fin de semana observamos la explotación de CVE-2026-20230 - Cisco Unified CM (CUCM) WebDialer SSRF → escritura de archivo root (CVSS 8.6). No hubo explotación registrada previamente, y aún no figura en el CISA KEV", advirtió Defused en X aquí.

Defused afirma que los ataques se originan desde una única dirección IP y utilizan payloads file:// correctamente construidos para crear archivos en el dispositivo.

Exploit de Cisco CVE-2026-20230 en honeypots
Fuente: Defused

Aunque el fallo puede ser explotado en ataques para instalar webshells y obtener privilegios de root, el PoC observado por Defused parece diseñado para identificar dispositivos vulnerables intentando escribir un archivo de texto llamado '/tmp/cve-2026-20230-test.txt' en ellos.

Después de que se revelara la explotación, SSD Secure publicó un informe técnico aquí sobre el fallo, explicando cómo funciona la vulnerabilidad y compartiendo un exploit de prueba de concepto.

Los investigadores descubrieron que un atacante no autenticado podría abusar del manejo de URLs proporcionadas por el usuario en el componente Webdialer para forzar a la aplicación a escribir archivos arbitrarios en el sistema operativo utilizando URIs file://.

Al controlar la ruta del archivo y el contenido escrito en el disco, un atacante podría explotar el error para lograr la ejecución remota de código y, en última instancia, obtener privilegios de root en los dispositivos vulnerables.

SSD Secure señaló que la explotación requiere que el atacante obtenga primero el nombre de host del sistema objetivo antes de llevar a cabo el ataque de escritura de archivos. Sin embargo, los investigadores demostraron cómo se puede recuperar esa información del dispositivo antes de la explotación.

Si bien la explotación actual parece ser de naturaleza de reconocimiento, ahora que el fallo ha sido totalmente revelado, es probable que veamos a más actores de amenazas dirigirse a estos servidores.

Fuente:
BleepingComputer