Lỗ hổng nghiêm trọng trên Cisco Unified CM đang bị khai thác sau khi PoC bị rò rỉ

Tin tặc đang tích cực khai thác lỗ hổng CVE-2026-20230 trên Cisco Unified CM. Lỗ hổng này cho phép kẻ tấn công ghi tệp tin trái phép vào hệ điều hành và leo thang đặc quyền lên...

Nguyen Hung

24 Tháng 6, 2026 2 Min Read

3 0

Các nhóm tội phạm mạng đang bắt đầu khai thác một lỗ hổng bảo mật nghiêm trọng mới được công bố, ảnh hưởng đến Cisco Unified Communications Manager (Unified CM) và Unified Communications Manager Session Management Edition (Unified CM SME).

Lỗ hổng này được định danh là CVE-2026-20230 với điểm CVSS 8.6. Đây là lỗi xác thực đầu vào không đúng cách trong các yêu cầu HTTP cụ thể, cho phép kẻ tấn công từ xa, không cần xác thực, thực hiện tấn công Server-Side Request Forgery (SSRF) thông qua thiết bị bị ảnh hưởng.

Theo thông tin từ Cisco, kẻ tấn công có thể gửi các yêu cầu HTTP được chế tạo đặc biệt đến thiết bị mục tiêu. Việc khai thác thành công cho phép kẻ tấn công ghi tệp tin vào hệ điều hành bên dưới, tạo tiền đề để leo thang đặc quyền lên quyền root.

Đáng chú ý, các chuyên gia từ Defused Cyber đã ghi nhận hoạt động khai thác thực tế trên môi trường mạng. Họ cho biết các payload dạng file:// đang được sử dụng để ghi tệp tin trái phép vào các hệ thống mục tiêu thông qua một PoC (Proof-of-Concept) chưa qua kiểm duyệt.

Cách kiểm tra và phòng tránh

Lỗ hổng này chỉ có thể bị khai thác nếu dịch vụ WebDialer đang được kích hoạt (mặc định dịch vụ này bị tắt). Người dùng có thể kiểm tra trạng thái bằng các bước sau:

Đăng nhập vào giao diện Cisco Unified CM Administration.
Tại menu Navigation, chọn Cisco Unified Serviceability và nhấn Go.
Tại menu Tools, chọn Control Center – Feature Services.
Trong phần CTI Services, kiểm tra trạng thái của Cisco WebDialer Web Service. Nếu trạng thái là “Started”, dịch vụ đang được bật.

Cisco đã phát hành bản vá cho các phiên bản Unified CM và Unified CM SME 14SU6 và 15SU5. Trong trường hợp chưa thể cập nhật ngay lập tức, quản trị viên được khuyến cáo nên vô hiệu hóa dịch vụ WebDialer để ngăn chặn rủi ro bị tấn công.

SSD Secure Disclosure cũng đã công bố các chi tiết kỹ thuật bổ sung, xác nhận rằng lỗ hổng này cho phép kẻ tấn công không cần xác thực có thể ghi tệp tin tùy ý lên server, từ đó đạt được khả năng thực thi mã từ xa (code execution).

Nguồn tham khảo: The Hacker News