Falha no Cisco Unified CM CVE-2026-20230 já está sendo explorada em ataques
Aprofundamento CEVIU
Aprofundamento
A falha CVE-2026-20230 no Cisco Unified CM explora uma falha de entrada mal validada no componente WebDialer, permitindo que atacantes escrevam arquivos arbitrários no sistema operacional usando URIs file://. Isso não é apenas um desvio de requisição, é uma via direta para root, já que o servidor roda com privilégios elevados. A técnica usada, comum em ambientes legados de telecomunicações, aproveita a confiança excessiva do sistema em endpoints internos expostos sem autenticação. Empresas que ainda dependem de Unified CM para call centers ou infraestrutura de voz corporativa correm risco real: a exploração não precisa de credenciais, e o ataque inicial é silencioso, limitado a criar um arquivo de teste.
Na prática, isso significa que sistemas que não foram atualizados desde 3 de junho estão expostos a um ataque que pode levar à instalação de webshells, exfiltração de dados de chamadas ou até mesmo a comprometimento de redes de voz. A arquitetura monolítica do Unified CM, com componentes herdados e pouca segmentação de rede, amplifica o impacto. Não basta patchear o servidor: é preciso revisar regras de firewall, bloquear acesso externo ao WebDialer e monitorar logs de acesso a endpoints não documentados.
Por que isso importa
Este não é um bug comum. É um indicador de que sistemas críticos de comunicação corporativa, muitas vezes esquecidos na transformação digital, estão se tornando alvos fáceis. Empresas que migraram para nuvem mas deixaram o Unified CM on-premise sem patch ou isolamento de rede estão em risco imediato. A exploração já foi observada em larga escala, e o fato de o ataque começar com um simples arquivo de teste indica que os atacantes estão mapeando ativos. A resposta não é só técnica, é de governança: quem é responsável por manter esses sistemas? Se for o time de TI geral, eles provavelmente não sabem que o Unified CM ainda está exposto. Se for o time de telecom, eles podem não ter acesso a patches de segurança. O gap entre redes de voz e dados é o que permite esse tipo de falha prosperar.
Linha do tempo
Cisco libera correção para CVE-2026-20230 no Cisco Unified CM
Defused observa exploração ativa da falha em ataques direcionados
Falha CVE-2026-20230 confirmada como explorada em larga escala, com tentativas de escrita de arquivos para mapeamento de ativos
Perguntas frequentes
O que é o WebDialer no Cisco Unified CM e por que ele é vulnerável?
O WebDialer é um componente que permite fazer ligações por interface web, geralmente usado em call centers. Ele aceita URLs como parâmetro sem validação adequada, o que permite que um atacante force o sistema a acessar e escrever arquivos locais usando o esquema file://. Isso é possível porque o serviço roda com permissões de root e confia em entradas de usuário sem checagem de contexto ou origem.
Como saber se meu sistema Cisco Unified CM está vulnerável?
Verifique a versão do software: qualquer instância antes da atualização lançada em 3 de junho de 2026 está em risco. Além disso, se o endpoint /webdialer/ ainda é acessível da internet ou de redes internas sem autenticação, o risco é alto. Use ferramentas de descoberta de ativos ou verifique logs de acesso para tentativas de escrita em /tmp/ ou outros diretórios do sistema.
Se eu já apliquei o patch, ainda preciso fazer algo?
Sim. O patch corrige a falha, mas não remove possíveis webshells ou arquivos maliciosos já escritos no sistema. Faça uma varredura em /tmp/, /opt/cisco/ e diretórios de logs. Revise permissões de arquivos e monitore processos suspeitos que iniciem após o patch. Também é crucial isolar o Unified CM de redes não confiáveis, mesmo que o patch esteja aplicado.
Por que essa falha não estava na lista da CISA KEV quando foi descoberta?
A CISA adiciona falhas à KEV com base em evidência de exploração ativa em larga escala. No momento da divulgação, a exploração era limitada e observada apenas por um único grupo. A ausência na lista não significa baixo risco, apenas que ainda não havia padrão de ataque massivo. A confiança em sistemas legados muitas vezes atrasa a classificação de risco até que o dano seja visível.
Fontes
- bleepingcomputer.comfonte original
- Categoria
- CEVIU TI
- Publicado
- 24 de junho de 2026
- Editoria
- CEVIU TI