SSRF en Cisco Unified CM: de escritura de ficheros a root

Un fallo de validación de entrada en determinadas peticiones HTTP afecta a Cisco Unified Communications Manager (Unified CM) y a su variante Session Management Edition (Unified CM SME). La vulnerabilidad, registrada como CVE-2026-20230 y categorizada bajo CWE-918 (Server-Side Request Forgery), abre la puerta a que cualquier atacante remoto, sin necesidad de credenciales, manipule el servidor para que realice peticiones internas arbitrarias.

Mecánica del ataque

El vector es directo: el atacante envía una petición HTTP especialmente construida contra un dispositivo expuesto. Si la solicitud tiene éxito, consigue escribir ficheros en el sistema operativo anfitrión. Esos ficheros pueden emplearse posteriormente para escalar privilegios hasta el nivel de root, convirtiendo lo que aparentemente es un impacto limitado a integridad en un compromiso total del sistema.

Cisco reconoce explícitamente la brecha entre la puntuación numérica y la gravedad real: el CVSS 3.1 arroja un valor de 8.6 (Alto) con vector AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N, pero la compañía ha optado por asignar una clasificación interna Crítica precisamente porque la posibilidad de alcanzar root eleva el riesgo por encima de lo que el número refleja.

Condición necesaria: WebDialer activo

Para que la explotación sea viable, el servicio WebDialer debe estar en funcionamiento. Cisco lo entrega deshabilitado por defecto, lo que limita la superficie expuesta a aquellos entornos donde los administradores lo han activado expresamente. No obstante, dado que la vulnerabilidad está siendo explotada activamente según las fuentes de seguimiento, cualquier organización con WebDialer habilitado debe actuar con urgencia.

Pasos de mitigación recomendados

  1. Verificar el estado de WebDialer en todos los nodos de Unified CM y SME. Si no es imprescindible, deshabilitarlo de inmediato reduce la superficie de ataque a cero para este vector.
  2. Aplicar los parches publicados por Cisco en su aviso de seguridad oficial en cuanto estén disponibles para las versiones en producción.
  3. Revisar los registros de acceso HTTP en busca de peticiones anómalas que apunten a recursos internos o rutas inusuales.
  4. Segmentar la red para que los nodos de Unified CM no sean accesibles directamente desde Internet salvo que exista una necesidad operativa justificada.

Contexto: por qué importa Unified CM

Cisco Unified CM es la columna vertebral de telefonía IP y colaboración de numerosas organizaciones del sector financiero, sanitario e industrial. Un compromiso a nivel root en esta plataforma no solo afecta a las comunicaciones internas, sino que puede servir de pivote hacia otros segmentos de red corporativa.

¿Estás cubierto en DefensOps?

DefensOps detecta actividad relacionada con este tipo de vulnerabilidad a través de su motor de correlación genérico, disponible desde el plan Essential. Aunque CVE-2026-20230 no tiene técnicas MITRE ATT&CK específicas mapeadas en este momento, el motor correlaciona patrones de peticiones HTTP sospechosas, escrituras de ficheros inesperadas y comportamientos anómalos en endpoints de comunicaciones que pueden indicar explotación activa de SSRF.

¿Tu entorno ejecuta Cisco Unified CM o Unified CM SME con WebDialer habilitado? Revisa tu cobertura ahora.

👉 Consulta los planes y solicita una demo en DefensOps — el plan Essential ya incluye la cobertura descrita.

Fuente primaria: Cisco Security Advisory — cisco-sa-cucm-ssrf-cXPnHcW | Seguimiento activo: BleepingComputer