CVE-2026-20230: vulnerabilità SSRF critica in Cisco Unified Communications Manager, già nel catalogo CISA KEV

CVE-2026-20230: vulnerabilità SSRF critica in Cisco Unified Communications Manager, già nel catalogo CISA KEV

In breve

CVE-2026-20230 è una vulnerabilità di tipo SSRF (server-side request forgery) che interessa Cisco Unified Communications Manager (Unified CM) e Unified CM Session Management Edition (Unified CM SME) [1]. Ha un punteggio CVSS di 8.6 (gravità "high" secondo NVD) [1], è stata pubblicata il 3 giugno 2026 [1] ed è presente nel catalogo CISA KEV delle vulnerabilità con sfruttamento attivo noto [2]. Se la tua organizzazione utilizza Cisco Unified CM, in particolare con il servizio WebDialer attivo, il passo da compiere oggi è verificare la versione installata e dare priorità all'aggiornamento.

Cos'è e perché è importante

La vulnerabilità risiede in una convalida non corretta di determinate richieste HTTP in Unified CM e Unified CM SME [1]. Un attaccante remoto, senza necessità di autenticarsi, può inviare una richiesta HTTP manipolata per costringere il server a effettuare richieste verso risorse interne (lo schema classico dell'SSRF) e, a partire da lì, scrivere file sul sistema operativo sottostante [1]. Secondo la descrizione ufficiale, questi file potrebbero essere successivamente utilizzati per l'escalation dei privilegi fino a ottenere accesso root [1].

È rilevante una sfumatura presente nella fonte ufficiale: Cisco ha assegnato a questo difetto un Security Impact Rating "Critical", superiore a quanto suggerirebbe il solo punteggio CVSS, proprio per questo rischio di escalation a root [1]. Nel radar interno di OCIRIA, questa vulnerabilità viene registrata con gravità critica e sotto l'etichetta di tassonomia "esecuzione di codice remoto", una categoria interna che utilizziamo per raggruppare i difetti con potenziale di compromettere il sistema operativo sottostante. Questa etichetta rappresenta la nostra classificazione del rischio, non un'affermazione che esista un'esecuzione di codice remoto confermata per questo CVE: il meccanismo verificato è un SSRF con scrittura di file che potrebbe portare a un'escalation dei privilegi [1].

È importante anche per valutare il rischio reale: lo sfruttamento richiede che il servizio WebDialer sia abilitato, e tale servizio è disabilitato per impostazione predefinita [1]. Se non lo utilizzi o non lo hai mai attivato, la tua esposizione diretta a questo specifico vettore è minore, anche se è opportuno verificarlo anziché darlo per scontato.

Chi è interessato

Riguarda le organizzazioni che utilizzano Cisco Unified Communications Manager o Unified CM Session Management Edition [1]. Si tratta di sistemi comuni nelle infrastrutture di telefonia IP e di comunicazioni unificate aziendali, per cui il rischio coinvolge sia le medie imprese con centralini propri sia gli operatori e i fornitori di servizi che gestiscono queste piattaforme per conto terzi. Non risulta dalla fonte ufficiale né dall'elenco CISA KEV che altri produttori o prodotti siano interessati da questo specifico CVE [1][2].

Come sapere se sei vulnerabile

• Verifica se hai implementato Cisco Unified CM o Unified CM SME nella tua infrastruttura, e in quale versione [1].
• Controlla se il servizio WebDialer è abilitato, poiché lo sfruttamento di questa specifica vulnerabilità dipende dal fatto che tale servizio sia attivo [1].
• Verifica se le interfacce di amministrazione di Unified CM sono accessibili dall'esterno della tua rete aziendale, non solo se il servizio WebDialer è attivo, poiché ridurre tale esposizione limita le vie di attacco disponibili anche se il difetto verrà corretto in seguito.
• Confronta la versione installata con l'avviso di sicurezza di Cisco relativo al tuo specifico prodotto, poiché la correzione definitiva dipende dalla versione di destinazione indicata dal produttore.

Come proteggersi

1. Aggiorna Cisco Unified CM e Unified CM SME alla versione corretta indicata da Cisco per la tua release attuale.

2. Se non puoi aggiornare immediatamente, disabilita il servizio WebDialer finché non ne hai bisogno operativamente, dato che è il componente la cui attivazione consente lo sfruttamento di questo difetto [1].

3. Limita l'accesso alle porte e alle console di amministrazione di Unified CM esclusivamente alle reti di gestione affidabili, evitando l'esposizione diretta a internet.

4. Esamina i log e il traffico HTTP verso questi sistemi alla ricerca di pattern anomali, dato che questa vulnerabilità è già inclusa nel catalogo di sfruttamento attivo di CISA [2].

5. Documenta l'aggiornamento e la data di applicazione come parte delle tue evidenze di conformità e gestione delle vulnerabilità.

Domande frequenti

È una vulnerabilità critica? NVD le assegna un punteggio di 8.6 (gravità "high") [1], e Cisco le assegna un Security Impact Rating "Critical" per il rischio di escalation a root descritto dall'avviso stesso [1].

Viene sfruttata attivamente? Sì, CVE-2026-20230 è presente nel catalogo CISA KEV delle vulnerabilità con sfruttamento attivo noto [2].

Riguarda la mia azienda se non uso WebDialer? Secondo la descrizione ufficiale, lo sfruttamento di questo difetto richiede che il servizio WebDialer sia abilitato, ed è disabilitato per impostazione predefinita [1]. Ciononostante, è opportuno verificare la propria configurazione specifica e non darlo per scontato.

È sufficiente aggiornare Cisco Unified CM? Aggiornare alla versione corretta è la misura principale raccomandata, insieme alla limitazione dell'accesso alle interfacce di amministrazione mentre si completa la distribuzione.

Fonti

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-20230
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json