In Cisco Unified Communications Manager, der zentralen Telefonie- und Kollaborationsplattform vieler Unternehmen, steckt eine kritische Schwachstelle. Ein nicht authentifizierter Angreifer kann sie aus der Ferne ausnutzen, um Dateien auf dem System abzulegen und sich anschließend Root-Rechte zu verschaffen. Cisco hat den Fehler bereits gepatcht, doch seit Ende Juni wird er nachweislich angegriffen. Die US-Behörde CISA hat ihn in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen.

Was ist passiert?

Cisco hat die Schwachstelle CVE-2026-20230 am 3. Juni 2026 im Advisory cisco-sa-cucm-ssrf-cXPnHcW veröffentlicht. Betroffen sind Cisco Unified Communications Manager (Unified CM) und die Session Management Edition (Unified CM SME), sofern der WebDialer-Dienst aktiviert ist. WebDialer ist eine Klick-zum-Wählen-Funktion und standardmäßig deaktiviert.

Die Lücke ist eine Server-Side Request Forgery (SSRF, CWE-918). Dabei bringt der Angreifer den Server dazu, in seinem Namen Anfragen auszuführen oder auf interne Ressourcen zuzugreifen. Ursache ist eine unzureichende Prüfung bestimmter HTTP-Anfragen. Ein Angreifer sendet eine präparierte HTTP-Anfrage an den WebDialer-Dienst und kann dadurch beliebige Dateien in das darunterliegende Betriebssystem schreiben. Diese Dateien lassen sich anschließend nutzen, um die Rechte bis auf Root-Ebene auszuweiten.

Der CVSS-Wert liegt bei 8.6. Cisco stuft das Advisory jedoch bewusst als kritisch ein, also höher als der reine Zahlenwert nahelegt, weil ein erfolgreicher Angriff bis zu Root-Rechten und damit zur vollständigen Übernahme des Systems führen kann. Der Angriff erfordert keine Zugangsdaten und keine Interaktion des Nutzers.

Wie steht es um die Ausnutzung?

Der zeitliche Ablauf zeigt, wie schnell aus einer Meldung ein reales Problem wurde. Cisco veröffentlichte den Patch am 3. Juni 2026 und wies darauf hin, dass bereits Proof-of-Concept-Code verfügbar war, also ein funktionierender Beispiel-Exploit. Am Wochenende des 21. und 22. Juni beobachtete das Analyseteam Defused erste Angriffe. Bis zum 23. Juni berichteten mehrere Sicherheitsquellen von aktiver Ausnutzung. Am 25. Juni nahm CISA die Lücke in ihren KEV-Katalog auf und setzte US-Bundesbehörden nach der Direktive BOD 26-04 eine Frist bis zum 28. Juni. Cisco bestätigte in einer Aktualisierung des Advisorys vom 1. Juli, im Juni 2026 auf aktive Ausnutzung aufmerksam geworden zu sein.

Nach Analysen von Rescana verläuft der Angriff mehrstufig über den WebDialer und den zugrunde liegenden Apache-Axis-Stack. Die Angreifer nutzen die SSRF-Lücke, um über Verzeichniswechsel eine bösartige Axis-Komponente einzuschleusen und darüber eine Webshell abzulegen, also ein Skript, das die spätere Fernsteuerung des Servers erlaubt. Beobachtet wurden stark automatisierte, über das Tor-Netzwerk verschleierte Scans gegen aus dem Internet erreichbare Systeme. Ein bislang zurückhaltender Proof-of-Concept schrieb lediglich eine Testdatei /tmp/cve-2026-20230-test.txt, um verwundbare Geräte zu identifizieren. Eine konkrete Tätergruppe wurde bislang nicht zugeordnet.

Warum ist das so gefährlich?

Unified CM ist keine beliebige Anwendung, sondern eine zentrale Kommunikationsinfrastruktur, oft mit Verbindungen tief in das Unternehmensnetz. Wer hier Root-Rechte erlangt, übernimmt einen kritischen Server und kann ihn als Ausgangspunkt für weitere Angriffe nutzen. Da der Angriff ohne Anmeldung funktioniert und öffentlicher Exploit-Code existiert, sinkt die Hürde erheblich. Es braucht keine tiefen Kenntnisse mehr, sondern nur die Fähigkeit, ein verfügbares Skript auszuführen.

Erschwerend kommt hinzu, dass es keine echten Workarounds gibt, die die Lücke selbst schließen. Das Deaktivieren von WebDialer entfernt zwar die Angriffsfläche, ersetzt aber kein Update. Der Umstand, dass WebDialer standardmäßig aus ist, gibt eine gewisse Entwarnung. Organisationen, die die Klick-zum-Wählen-Funktion aktiviert haben, sollten jedoch von einer Gefährdung ausgehen und den Status auf jedem einzelnen Knoten prüfen, statt auf die Standardeinstellung zu vertrauen.