CVE-2026-20230
Cisco Unified Communications Manager Server-Side Request Forgery (SSRF) Vulnerability
Beschreibung
CVE-2026-20230 ist eine Server-Side-Request-Forgery-(SSRF-)Schwachstelle mit hohem Schweregrad in Cisco Unified Communications Manager (Unified CM) und Cisco Unified Communications Manager Session Management Edition (Unified CM SME) mit einem CVSS-3.1-Wert von 8.6. Die Lücke entsteht durch eine unzureichende Eingabevalidierung bestimmter HTTP-Anfragen und erlaubt es einem nicht authentifizierten, entfernten Angreifer, ein betroffenes Gerät zu manipulierten Anfragen zu zwingen und letztlich Dateien in das zugrunde liegende Betriebssystem zu schreiben, die zur Rechteausweitung auf root genutzt werden können. Obwohl der CVSS-Basiswert HIGH ist, hat Cisco dieser SSRF-Schwachstelle ein Security Impact Rating (SIR) von Critical zugewiesen, gerade weil eine erfolgreiche Ausnutzung zu root-Rechten auf der Appliance führen kann. CVE-2026-20230 ist im Known-Exploited-Vulnerabilities-(KEV-)Katalog der CISA gelistet, und der EPSS-Wert von 0,41694 (98,5. Perzentil) zeigt eine hohe Ausnutzungswahrscheinlichkeit, weshalb eine zeitnahe Behebung von Unified CM unerlässlich ist. Zu beachten ist, dass die Ausnutzung den aktivierten WebDialer-Dienst voraussetzt, was nicht der Standardkonfiguration entspricht.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| cisco | unified communications manager | >= 14.0, < 14su6; >= 15.0, <= 15su4a |
Referenzen
- https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cucm-ssrf-cXPnHcW(Vendor Advisory)
- https://denizhalil.com/2026/06/12/cve-2026-20230-cisco-unified-cm-ssrf/(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-20230(US Government Resource)
Schwachstellentyp
CWE-918: Server-Side Request Forgery (SSRF)
CVE-2026-20230 beruht auf CWE-918: Cisco Unified Communications Manager verarbeitet bestimmte HTTP-Anfragen bzw. handelt auf ihrer Grundlage, ohne die vom Benutzer bereitgestellte Eingabe ordnungsgemäß zu validieren. Dadurch kann ein Angreifer das betroffene Gerät zwingen, Anfragen an unerwartete Ziele zu senden und Dateien in das zugrunde liegende Betriebssystem zu schreiben — womit eine SSRF-Schwachstelle zu einem Ausgangspunkt wird, der sich zur Rechteausweitung auf root nutzen lässt.
Mehr erfahren: CWE-918 — Server-Side Request Forgery (SSRF)
Auswirkungsanalyse
CVE-2026-20230 weist einen CVSS-3.1-Wert von 8.6 (HIGH) auf und ist aus der Ferne ohne physischen Zugriff ausnutzbar (Angriffsvektor NETWORK), mit geringer Komplexität und ohne besondere Voraussetzungen (Angriffskomplexität LOW), ohne Authentifizierung (erforderliche Rechte NONE) und ohne Benutzerinteraktion. Die CVSS-Metriken verzeichnen keine direkte Auswirkung auf Vertraulichkeit oder Verfügbarkeit (Vertraulichkeit NONE, Verfügbarkeit NONE), aber eine HIGH-Auswirkung auf die Integrität: Der Angreifer kann Dateien in das zugrunde liegende Betriebssystem schreiben und damit den Zustand der Unified-CM-Appliance manipulieren. Da der Scope Changed ist, kann sich die Auswirkung über die verwundbare Webkomponente hinaus auf den zugrunde liegenden Host erstrecken — und Cisco warnt, dass sich das Datei-Schreib-Primitiv zur Rechteausweitung auf root nutzen lässt, weshalb Cisco die Security Impact trotz des HIGH-Basiswerts als Critical einstuft. Angesichts eines EPSS-Werts im 98,5. Perzentil und der durch die KEV-Listung bestätigten aktiven Ausnutzung sollten Organisationen mit betroffenen Unified-CM- oder Unified-CM-SME-Versionen und aktiviertem WebDialer-Dienst diese Schwachstelle dringend priorisieren.
Exploit-Reifegrad
Öffentliche Exploit-Informationen zu CVE-2026-20230 sind über denizhalil.com verfügbar, das in den Referenzen als Exploit und Third-Party-Advisory getaggt ist. Die CISA hat die aktive Ausnutzung durch Aufnahme von CVE-2026-20230 in den Known-Exploited-Vulnerabilities-Katalog bestätigt, mit einer behördlichen Behebungsfrist zum 2026-06-28; der KEV-Ransomware-Status ist derzeit als Unknown gelistet. Der EPSS-Wert von 0,41694 ordnet diese Schwachstelle in das 98,5. Perzentil ein, was auf eine deutlich höhere Ausnutzungswahrscheinlichkeit als beim durchschnittlichen CVE hinweist. Da eine öffentliche Exploit-Ressource existiert und die Schwachstelle unauthentifiziert mit einem Weg zu root ist, sollten Organisationen mit aktiviertem WebDialer-Dienst von laufenden Ausnutzungsversuchen ausgehen und sofort beheben.
Behebung
- Herstellerkorrektur gemäß der KEV-Handlungsanweisung der CISA einspielen. Maßnahmen nach Ciscos Anweisungen umsetzen und die CISA-Vorgaben aus BOD 26-04 „Prioritizing Security Updates Based on Risk" sowie die „Forensics Triage Requirements" einhalten; die einschlägigen BOD-26-04-Vorgaben für Cloud-Dienste befolgen oder das Produkt außer Betrieb nehmen, falls keine Maßnahmen verfügbar sind. Die behördliche Behebungsfrist war der 2026-06-28.
- Auf eine korrigierte Version aktualisieren. Betroffen sind Unified CM/Unified CM SME 14.0 bis (ausschließlich) 14SU6 sowie 15.0 bis einschließlich 15SU4a. Auf eine korrigierte Cisco-Version aktualisieren, wie im Hersteller-Advisory unter sec.cloudapps.cisco.com dokumentiert.
- WebDialer als Übergangsmaßnahme deaktivieren. Die Ausnutzung setzt den aktivierten WebDialer-Dienst voraus, der standardmäßig deaktiviert ist. Wo WebDialer nicht benötigt wird, sicherstellen, dass er deaktiviert ist, um die Angriffsfläche bis zum Abschluss des Patchens zu beseitigen.
- Netzwerkzugriff einschränken und überwachen. Den Zugriff auf die Administrations- und Web-Oberflächen von Unified CM auf vertrauenswürdige Management-Netze beschränken und HTTP-Request-Logs auf auffällige oder fehlerhafte Anfragen an WebDialer-Endpunkte sowie auf unerwartete Dateischreibvorgänge auf der Appliance prüfen.
- Langfristig gegen SSRF härten. Gemäß SSRF-Best-Practice eine strikte Validierung und Allowlisting für Anfrageziele und Protokolle erzwingen und Anfragen an interne und Link-Local-Adressbereiche blockieren, damit nicht vertrauenswürdige Eingaben serverseitige Anfragen nicht umleiten können.
Technische Details
CVE-2026-20230 ist eine Server-Side-Request-Forgery-Schwachstelle in Cisco Unified Communications Manager, die ausgelöst wird, wenn der WebDialer-Dienst bestimmte HTTP-Anfragen verarbeitet, ohne die übermittelte Eingabe ausreichend zu validieren. Bei einer SSRF-Schwachstelle dieser Klasse (CWE-918) kann die Anwendung dazu gebracht werden, Anfragen an vom Angreifer gewählte Ziele zu senden; hier geht die Lücke weiter und erlaubt es dem Angreifer, Dateien in das zugrunde liegende Betriebssystem zu schreiben, was sich anschließend zur Rechteausweitung auf root nutzen lässt. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N zeigt, dass der Angriff netzwerkbasiert und von geringer Komplexität ist, keine Authentifizierung und keine Benutzerinteraktion erfordert und eine HIGH-Auswirkung auf die Integrität bei Changed-Scope erreicht, während Vertraulichkeit und Verfügbarkeit direkt unberührt bleiben. Der Changed-Scope spiegelt wider, dass die SSRF und der resultierende Dateischreibvorgang vom verwundbaren Webdienst in den zugrunde liegenden Host übergreifen — der Mechanismus hinter Ciscos Security Impact Rating von Critical.
Häufig gestellte Fragen
Wird CVE-2026-20230 aktiv ausgenutzt?
Ja. CVE-2026-20230 ist im Known-Exploited-Vulnerabilities-Katalog der CISA gelistet, was die aktive Ausnutzung bestätigt, mit Behebungsfrist zum 2026-06-28. Zudem ist über denizhalil.com eine öffentliche Exploit-Ressource verfügbar, und der EPSS-Wert von 0,41694 (98,5. Perzentil) weist auf eine hohe Ausnutzungswahrscheinlichkeit hin. Eine Ransomware-Beteiligung ist derzeit als Unknown gelistet.
Welche Produkte sind von CVE-2026-20230 betroffen?
Betroffen sind Cisco Unified Communications Manager (Unified CM) und Unified Communications Manager Session Management Edition (Unified CM SME), konkret die Versionen 14.0 bis (ausschließlich) 14SU6 sowie 15.0 bis einschließlich 15SU4a. Die Ausnutzung setzt zusätzlich voraus, dass der WebDialer-Dienst aktiviert ist, der in der Standardkonfiguration deaktiviert ist.
Wie behebe ich CVE-2026-20230?
Spielen Sie Ciscos Korrektur gemäß dem Hersteller-Advisory und der KEV-Handlungsanweisung der CISA ein und aktualisieren Sie Unified CM/Unified CM SME auf eine korrigierte Version außerhalb der betroffenen Bereiche 14.0–14SU6 und 15.0–15SU4a. Deaktivieren Sie als Übergangsmaßnahme den WebDialer-Dienst, wo er nicht benötigt wird, beschränken Sie den Zugriff auf die Administrationsoberflächen und überwachen Sie auf auffällige Anfragen, wie im Abschnitt Behebung beschrieben.
Wie schwerwiegend ist CVE-2026-20230?
CVE-2026-20230 ist als HIGH mit einem CVSS-3.1-Wert von 8.6 eingestuft, doch Cisco hat ihr ein Security Impact Rating von Critical zugewiesen, da eine erfolgreiche Ausnutzung die Rechte auf root ausweiten kann. Sie ist aus der Ferne ohne Authentifizierung oder Benutzerinteraktion ausnutzbar und erreicht eine HIGH-Auswirkung auf die Integrität (ohne direkte Auswirkung auf Vertraulichkeit oder Verfügbarkeit). Die Aufnahme in den KEV-Katalog und der EPSS-Wert im 98,5. Perzentil machen sie zu einer Schwachstelle mit hoher Priorität für die sofortige Behebung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.