Błąd w usłudze WebDialer systemu Cisco Unified Communications Manager pozwala bez hasła zapisać pliki na serwerze i przejąć go. Publiczny PoC istnieje, CISA potwierdza ataki. Wyłącz WebDialer lub zaktualizuj.
Ten alert jest dla zarządu, CTO i CFO firm, które używają telefonii IP opartej na Cisco Unified Communications Manager. Werdykt: jeśli w systemie włączona jest usługa WebDialer, a wersja jest starsza niż 14SU6 lub nie ma łatki dla gałęzi 15, wyłącz WebDialer lub zaktualizuj system dziś, bo luka pozwala przejąć serwer telefonii bez hasła, a ataki są potwierdzone.
Amerykańska agencja CISA 25 czerwca 2026 roku dopisała do katalogu KEV lukę CVE-2026-20230 w Cisco Unified Communications Manager (Unified CM). Katalog KEV to lista podatności, o których CISA ma dowody wykorzystania w prawdziwych atakach. Cisco wydał poprawki 3 czerwca 2026 roku, a 1 lipca potwierdził w biuletynie, że w czerwcu dowiedział się o aktywnym wykorzystaniu luki.
Unified CM to centralny system sterujący telefonią IP Cisco: trasuje połączenia i zarządza telefonami. Luka pozwala osobie bez konta, przez sieć, zmusić serwer do zapisania plików w jego systemie operacyjnym, co według Cisco może później posłużyć do przejęcia pełnych uprawnień (root). Dlatego Cisco nadał jej ocenę wpływu Critical, wyższą niż wynikałoby z samej oceny CVSS.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-20230 |
Data dodania do CISA KEV | 2026-06-25 |
Termin naprawy wg CISA | 2026-06-28 |
Produkt | Cisco Unified Communications Manager (Unified CM) i Unified CM Session Management Edition (SME) |
Wersje zagrożone | Gałąź 14 przed 14SU6 oraz gałąź 15 do 15SU4a włącznie (NVD, Cisco). Warunek: włączona usługa WebDialer, która domyślnie jest wyłączona |
Wersje bezpieczne | 14SU6; dla gałęzi 15: 15SU5 (Cisco zapowiada na wrzesień 2026) albo łatka COP właściwa dla wersji |
Typ podatności | Fałszowanie żądań po stronie serwera (SSRF) prowadzące do zapisu plików; CWE-918 |
Ocena CVSS | 8.6 WYSOKA (CVSS 3.1, Cisco). Atak przez sieć, bez uprawnień i bez udziału użytkownika. Ocena wpływu wg Cisco: Critical. NVD nie podaje własnej oceny |
Wyobraź sobie firmową centralę telefoniczną z telefonistką, która na prośbę dzwoniącego łączy go z dowolnym numerem i przekazuje wiadomości. Zasada jest prosta: przekazuje tylko do pracowników. Ktoś odkrywa jednak, że jeśli ułoży prośbę w odpowiedni sposób, telefonistka zaniesie jego kartkę na zaplecze i zostawi ją w szafie z dokumentacją techniczną centrali. Taka kartka może potem zmienić sposób działania całej centrali.
Tak działa ta luka. Usługa WebDialer, która pozwala dzwonić jednym kliknięciem z przeglądarki, przyjmuje odpowiednio przygotowane żądanie od kogoś, kto nie jest zalogowany, i wykonuje je w imieniu serwera. Efektem jest zapis plików w systemie serwera telefonii, co otwiera drogę do jego przejęcia.
💡 Unified CM (dawniej CallManager) to serce telefonii IP Cisco. WebDialer to dodatkowa usługa do wybierania numerów z przeglądarki lub aplikacji. SSRF (fałszowanie żądań po stronie serwera) oznacza, że napastnik zmusza serwer do wykonania operacji, do których sam nie ma dostępu. root to konto z nieograniczonymi uprawnieniami. COP to plik z łatką instalowany na konkretnej wersji systemu Cisco.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba wysyła żądanie do serwera telefonii | Bez logowania nic nie może zmienić | Może zapisać pliki w systemie serwera |
WebDialer włączony dla wygody pracowników | Ułatwia dzwonienie | Staje się furtką do serwera |
WebDialer wyłączony (ustawienie domyślne) | Brak tej funkcji | Wg Cisco luka nie jest wykorzystywalna |
Serwer telefonii w sieci firmowej | Zaufany element infrastruktury | Po przejęciu może służyć do dalszych ataków |
Zapisy połączeń i konfiguracja telefonów | Dostępne tylko dla administratorów | Zagrożone po zdobyciu uprawnień root |
źródło: Pexels, Pedro SilvaPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Luka nie wymaga konta, ale wymaga dostępu sieciowego do serwera Unified CM z włączonym WebDialer. Publiczny kod PoC istnieje od czerwca 2026 roku, co obniża próg wejścia.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukanie osiągalnych serwerów Unified CM z włączonym WebDialer | Lista celów |
2. Wykorzystanie luki | T+minuty | Wysłanie spreparowanego żądania z użyciem publicznego PoC | Zapis plików na serwerze |
3. Przejęcie | T+godziny | Wykorzystanie zapisanych plików do zdobycia uprawnień root | Pełna kontrola nad serwerem telefonii |
4. Utrwalenie | T+dni | Pozostawienie ukrytego dostępu | Powrót możliwy nawet po zmianie haseł |
5. Wykorzystanie | T+dni do tygodni | Podsłuch lub przekierowanie połączeń, dalsze ataki w sieci firmy | Straty, wyciek informacji, przestój telefonii |
Telefonia to kanał kontaktu z klientami i wewnętrzny system komunikacji. Luka nie wymaga hasła, publiczny PoC istnieje, a Cisco i CISA potwierdzają ataki. Jedynym czynnikiem ograniczającym jest to, że usługa WebDialer domyślnie jest wyłączona, więc zagrożone są te firmy, które ją świadomie lub nieświadomie włączyły.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przestój telefonii, odbudowa serwera Unified CM | Godziny do dni | 30 tys. do 250 tys. PLN (przestój, odtworzenie konfiguracji) |
Bezpieczeństwo danych | Dostęp do konfiguracji, książek adresowych i danych o połączeniach, dalsze włamania | Godziny do dni | 30 tys. do 200 tys. PLN (analiza powłamaniowa) |
Finansowy | Nadużycia połączeń, koszty specjalistów, utracona sprzedaż | Dni do tygodni | 50 tys. do 400 tys. PLN łącznie |
Reputacyjny | Klienci nie mogą się dodzwonić, możliwy wyciek informacji | Tygodnie | 20 tys. do 200 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli naruszono dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 100 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla Cisco Unified CM 14/15
bez poprawki, z włączonym WebDialer
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: prawdopodobieństwo jest wysokie, bo PoC jest publiczny i ataki trwają; wpływ jest wysoki, bo grozi przejęcie serwera telefonii. Przy wyłączonym WebDialer ryzyko z tej luki spada praktycznie do zera.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Sprawdzić wersję Unified CM i SME oraz stan usługi WebDialer (Cisco Unified Serviceability, Control Center) | Dziś | Administrator telefonii |
2 | 🔴 NATYCHMIAST | Jeśli WebDialer jest włączony, a poprawki brak: wyłączyć usługę do czasu aktualizacji | Dziś | Administrator telefonii |
3 | 🔴 NATYCHMIAST | Zaktualizować gałąź 14 do 14SU6, a dla gałęzi 15 zainstalować łatkę COP lub 15SU5 | Do 3 dni | Administrator telefonii |
4 | 🟠 PILNIE | Ograniczyć dostęp sieciowy do interfejsów Unified CM tylko do zaufanych segmentów | Do 3 dni | Administrator sieci |
5 | 🟠 PILNIE | Przejrzeć serwery, na których WebDialer był włączony, pod kątem śladów włamania od czerwca 2026 | Do 7 dni | Administrator |
6 | 🟡 WAŻNIE | Sprawdzić bilingi pod kątem nietypowych połączeń | Do 7 dni | Dział finansów |
7 | 🟡 WAŻNIE | Uzgodnić z partnerem Cisco harmonogram aktualizacji telefonii | Do 30 dni | CTO |
Cisco wydał poprawki i podaje, że nie ma obejścia. Jako środek tymczasowy producent wskazuje wyłączenie usługi WebDialer, z zastrzeżeniem, że trzeba ocenić wpływ na własne środowisko. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie usługi WebDialer (zalecenie Cisco) | Wysoka | Łatwa, ale pracownicy tracą wybieranie z przeglądarki |
Ograniczenie dostępu sieciowego do serwera Unified CM | Średnia | Średnia |
Monitorowanie nietypowych żądań do usług WWW serwera telefonii | Niska do średniej: wykrywa, nie blokuje | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Usługa WebDialer | Włączona, podatna | Wyłączona lub załatana |
Wersja Unified CM | Starsza niż 14SU6 lub bez łatki COP | 14SU6 lub gałąź 15 z łatką |
Dostęp do serwera | Z szerokiej części sieci | Tylko z zaufanych segmentów |
Wiedza o włamaniu | Brak przeglądu | Serwer sprawdzony, bilingi przejrzane |
Plan aktualizacji telefonii | Brak | Harmonogram uzgodniony z partnerem |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA i Cisco); CISA SSVC: wykorzystanie aktywne, pełny wpływ |
Grupy przestępcze | Brak publicznych informacji; wg Defused Cyber (za The Hacker News) ataki pochodziły z jednego źródła |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 8.6 WYSOKA (CVSS 3.1, Cisco); ocena wpływu Cisco: Critical |
PoC dostępny publicznie? | TAK: Cisco potwierdza istnienie kodu PoC; analizy techniczne opublikowali m.in. denizhalil.com (12 czerwca) i SSD Secure Disclosure (wg BleepingComputer 23 czerwca) |
Liczba atakowanych firm | Brak publicznych informacji |
Rozbieżności w źródłach | The Hacker News podaje poprawkę w 15SU5, biuletyn Cisco zapowiada 15SU5 na wrzesień 2026 i wskazuje łatkę COP jako rozwiązanie dla gałęzi 15 |
Sygnały zagrożenia dla CVE-2026-20230
CVSS 3.1 (Cisco) 8.6/10 █████████████████░░░ WYSOKA
Ocena wpływu Cisco Critical ████████████████████ możliwy root
Publiczny PoC TAK ████████████████████ od czerwca 2026
CISA KEV TAK ████████████████████ ataki potwierdzone
WebDialer domyślnie wyłączony ░░░░░░░░░░░░░░░░░░░ czynnik ograniczający 2026-06-03 Cisco publikuje biuletyn i poprawki, publikacja CVE-2026-20230
2026-06-12 Publiczna analiza techniczna luki (denizhalil.com)
2026-06-22 Defused Cyber informuje o atakach (wg BleepingComputer)
2026-06-23 SSD Secure Disclosure publikuje analizę z PoC (wg BleepingComputer)
2026-06-25 CISA dodaje lukę do katalogu KEV
2026-06-28 Termin naprawy wg CISA
2026-07-01 Cisco potwierdza w biuletynie aktywne wykorzystanie
2026-09 Zapowiedziane przez Cisco wydanie 15SU5
2026-09-17: TUTAJ JESTEŚMY Biuletyn Cisco z wersjami i instrukcją wyłączenia WebDialer: Cisco Unified Communications Manager Server-Side Request Forgery Vulnerability . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-20230 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, czy firma używa Cisco Unified CM i czy WebDialer jest włączony | CTO | DZISIAJ |
2 | Zatwierdzić wyłączenie WebDialer do czasu aktualizacji, jeśli jest włączony | CTO | DZISIAJ |
3 | Uzgodnić z partnerem Cisco termin instalacji 14SU6 lub łatki COP | CTO | DO JUTRA |
4 | Sprawdzić, czy umowa serwisowa Cisco obejmuje dostęp do poprawek | CFO | DO JUTRA |
5 | Zlecić przegląd bilingów od czerwca 2026 | CFO | DO JUTRA |
6 | Poinformować dział obsługi klienta o możliwym krótkim wyłączeniu funkcji wybierania z przeglądarki | CTO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaka wersja Unified CM i SME działa w firmie? | [wersja] | 🔴 |
2 | Czy usługa Cisco WebDialer Web Service ma status Started? | TAK / NIE | 🔴 |
3 | Czy zainstalowano 14SU6 albo łatkę COP dla gałęzi 15? | TAK / NIE, [data] | 🔴 |
4 | Z jakich segmentów sieci jest dostęp do interfejsów WWW serwera telefonii? | [opis] | 🟠 |
5 | Czy serwer był sprawdzony pod kątem śladów włamania od czerwca 2026? | TAK / NIE | 🟠 |
6 | Kto korzysta z WebDialer i czy jest nam potrzebny? | [lista], TAK / NIE | 🟡 |
7 | Czy mamy aktualną kopię konfiguracji Unified CM? | TAK / NIE, [data] | 🟡 |
CVE-2026-20230 pozwala napastnikowi bez hasła zapisać pliki na serwerze Cisco Unified CM i w konsekwencji go przejąć, o ile włączona jest usługa WebDialer. Publiczny PoC i potwierdzone ataki oznaczają, że sprawdzenie stanu WebDialer, jego wyłączenie tam, gdzie nie jest potrzebny, oraz instalacja 14SU6 lub łatki COP to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Wykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułBłąd w NetScaler ADC i Gateway, opisany przez producenta jako awaria, pozwala według badaczy przejąć bramę VPN bez hasła. Publiczny kod istnieje, ataki trwają. Zaktualizuj urządzenia i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.