Cisco a publié le 3 juin 2026 un avis de sécurité pour une vulnérabilité critique dans Cisco Unified Communications Manager (Unified CM) et sa variante Session Management Edition (Unified CM SME). La faille, référencée CVE-2026-20230 et cataloguée sous le Bug ID interne CSCws67331, obtient un score CVSS 3.1 de 8,6 et est classifiée sous CWE-918 (Server-Side Request Forgery). Elle permet à un attaquant distant non authentifié d'envoyer des requêtes HTTP spécialement conçues qui déclenchent une écriture de fichier sur le système d'exploitation sous-jacent du serveur Cisco Unified CM, ouvrant la voie à une élévation de privilèges en root. Un proof-of-concept est publiquement disponible depuis la publication de l'avis, et des tentatives d'exploitation ont été observées par des chercheurs de Defused Cyber sur des pots de miel.
CVE-2026-20230 est une vulnérabilité de type Server-Side Request Forgery (SSRF), classifiée sous CWE-918. Elle résulte d'une validation insuffisante des paramètres pour certaines requêtes HTTP entrantes traitées par le composant WebDialer de Cisco Unified CM. WebDialer est un service qui permet aux utilisateurs de passer des appels téléphoniques depuis leur navigateur web ou depuis des applications de bureau compatibles TAPI (Telephony Application Programming Interface). Il est désactivé par défaut dans les nouvelles installations, mais il est fréquemment activé dans les déploiements d'entreprise qui intègrent Cisco Unified CM avec des CRM, des clients de communication unifiée, ou des applications de centre de contact.
La vulnérabilité permet à un attaquant de soumettre une requête HTTP dont les paramètres ne sont pas correctement filtrés par WebDialer, provoquant le traitement par le serveur d'une requête interne vers une ressource non prévue. Dans le cas de CVE-2026-20230, cette SSRF peut être utilisée pour écrire des fichiers arbitraires sur le système de fichiers du serveur. Ces fichiers peuvent ensuite permettre une élévation de privilèges jusqu'au niveau root, transformant une vulnérabilité d'intégrité en compromission totale du système hôte.
Le vecteur CVSS complet de CVE-2026-20230 est CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N. Décomposer ce vecteur permet de comprendre avec précision ce que cette vulnérabilité permet et ce qu'elle ne permet pas directement.
AV:N (Attack Vector: Network) signifie que la vulnérabilité est exploitable depuis le réseau sans nécessiter d'accès physique ou d'accès au réseau local. Tout attaquant disposant d'une connectivité réseau vers l'interface WebDialer peut tenter l'exploitation à distance.
AC:L (Attack Complexity: Low) indique qu'aucune condition particulière ne doit être réunie côté cible pour que l'exploitation fonctionne, hormis le fait que WebDialer soit actif. Pas de conditions de course, pas de configurations spécifiques à deviner, pas d'étapes préparatoires nécessaires.
PR:N (Privileges Required: None) confirme qu'aucune authentification n'est requise. L'attaquant n'a besoin d'aucun compte utilisateur sur Cisco Unified CM pour exploiter la faille.
UI:N (User Interaction: None) signifie qu'aucune action d'un utilisateur légitime n'est nécessaire. L'exploitation est entièrement initiée par l'attaquant et peut être automatisée.
S:C (Scope: Changed) est analytiquement le plus significatif. Un "scope changed" indique que l'impact de l'exploitation s'étend au-delà du composant vulnérable. La SSRF affecte WebDialer (le composant vulnérable), mais son exploitation permet une écriture sur le système d'exploitation sous-jacent, un composant distinct en dehors de la portée de sécurité de l'application Unified CM. Ce changement de périmètre justifie le score élevé malgré l'absence d'impact direct sur la confidentialité.
C:N (Confidentiality: None) : la vulnérabilité ne permet pas de lire des fichiers ou d'exfiltrer des données directement. L'impact sur la confidentialité serait une conséquence de l'élévation de privilèges obtenue après l'écriture de fichier, pas un impact direct de la SSRF elle-même.
I:H (Integrity: High) reflète la capacité d'écriture de fichiers arbitraires. Placer un fichier malveillant dans un répertoire système, de configuration, ou un script de démarrage constitue un impact élevé sur l'intégrité du système.
A:N (Availability: None) : Cisco Unified CM reste opérationnel pendant et après l'exploitation. Cette absence d'impact sur la disponibilité facilite la persistance discrète d'un attaquant qui préfère maintenir un accès silencieux plutôt que de perturber le service.
WebDialer est un service facultatif de Cisco Unified CM qui expose une interface HTTP permettant aux utilisateurs d'initier des appels téléphoniques depuis des applications tierces compatibles. Les cas d'usage les plus courants incluent l'intégration avec des CRM comme Salesforce ou Microsoft Dynamics (fonctionnalité "click-to-call"), l'utilisation avec le client Cisco Jabber en mode "desk phone control", et les intégrations avec des plateformes de centre de contact qui utilisent WebDialer comme interface de contrôle des appels sortants.
Pour vérifier le statut de WebDialer dans votre déploiement, accédez à l'interface d'administration de Cisco Unified CM, naviguez vers Cisco Unified Serviceability, puis Tools, puis Control Center - Feature Services. Le service Cisco WebDialer Web Service apparait dans la liste. Un statut "Not Running" ou "Stopped" signifie que CVE-2026-20230 n'est pas exploitable via WebDialer sur ce serveur. Un statut "Started" indique que le service est actif et que l'application du correctif doit être traitée en priorité.
Selon les informations techniques publiées par SSD Secure Disclosure dans le cadre de leur analyse du proof-of-concept, la chaîne d'exploitation se déroule en deux phases principales. Dans la première phase, l'attaquant utilise le composant WebDialer pour obtenir le nom d'hôte réel du serveur Cisco Unified CM cible. Cette information est accessible via une fonctionnalité de WebDialer normalement utilisée dans des contextes d'intégration légitimes, mais elle fournit à l'attaquant la donnée nécessaire pour construire les requêtes malveillantes de la seconde phase.
Dans la seconde phase, l'attaquant construit des requêtes HTTP exploitant la validation insuffisante décrite dans CVE-2026-20230. Ces requêtes utilisent des URI de type file://, un schéma qui référence des ressources du système de fichiers local plutôt que des ressources réseau. Le serveur traite ces URI dans un contexte qui déclenche l'écriture d'un fichier arbitraire à un emplacement contrôlé par l'attaquant sur le système de fichiers. C'est précisément le contenu et l'emplacement de ce fichier qui déterminent le succès de la phase d'élévation de privilèges.
La seconde phase exploite le fichier écrit pour obtenir root. Les chemins classiques incluent l'écriture dans des répertoires de scripts de démarrage (le fichier sera exécuté au prochain redémarrage d'un service privilégié), la modification de fichiers de configuration lus par des processus s'exécutant en root, ou le placement d'un exécutable dans un répertoire présent dans le PATH d'un processus privilégié. L'impact combiné transforme une vulnérabilité d'intégrité (score direct 8,6) en compromission totale du système hôte en conditions d'exploitation réussie.
L'avis de sécurité de Cisco pour CVE-2026-20230, publié le 3 juin 2026, confirme qu'un proof-of-concept est publiquement disponible. La disponibilité d'un PoC fonctionnel réduit considérablement la barrière à l'entrée pour les attaquants : un acteur disposant de capacités techniques limitées peut reproduire une exploitation documentée sans développer son propre code.
Des chercheurs de Defused Cyber ont signalé avoir observé des tentatives d'exploitation de CVE-2026-20230 depuis une source unique sur leurs infrastructures de surveillance. Les payloads observés utilisaient des URI file:// formatées de manière caractéristique, cohérente avec le mécanisme décrit dans le PoC. Ces observations, effectuées dans un délai court après la publication du PoC, indiquent que des acteurs ont mis en oeuvre l'exploitation en conditions réelles. Le séquençage publication de l'avis (3 juin 2026), PoC disponible, puis tentatives sur honeypots est un schéma bien documenté pour les vulnérabilités à fort impact sur des équipements de communications d'entreprise. Les organisations qui n'ont pas encore appliqué le correctif ou désactivé WebDialer doivent traiter cette faille comme présentant un risque d'exploitation actif.
CVE-2026-20230 affecte les versions Release 14 et Release 15 de Cisco Unified CM et de Cisco Unified CM SME, uniquement lorsque WebDialer est actif. Cisco a publié des versions corrigées pour les deux branches. Pour la Release 14, le correctif est disponible dans 14SU6. Pour la Release 15, la version corrigée est 15SU5, dont la sortie est prévue pour septembre 2026. Dans l'intervalle pour la Release 15, Cisco a rendu disponible un fichier COP1 (Cisco Options Package) qui permet d'appliquer le correctif spécifique à CVE-2026-20230 sans attendre la release complète 15SU5.
Pour les organisations qui ne peuvent pas déployer immédiatement 14SU6 ou le COP pour Release 15, la seule mesure compensatoire identifiée par Cisco est la désactivation du service WebDialer. Cette désactivation supprime le vecteur d'exploitation de CVE-2026-20230 sans affecter les fonctionnalités de téléphonie de base. Les appels IP, la messagerie vocale, les conférences audio, et les files d'attente d'appels restent opérationnels. Seule la capacité d'initier des appels depuis un navigateur web ou via une intégration TAPI tierce est perdue le temps que le correctif soit déployé.
La même semaine que la divulgation de CVE-2026-20230, Cisco a également publié un avis pour CVE-2026-20262, une vulnérabilité dans Cisco Catalyst SD-WAN Manager notée CVSS 6,5, également identifiée comme exploitée activement. La coexistence de deux vulnérabilités Cisco sur deux lignes de produits distinctes, toutes deux activement exploitées dans la même fenêtre temporelle, reflète une tendance documentée en 2026 : les acteurs qui investissent dans la recherche de vulnérabilités sur les produits Cisco trouvent un retour sur investissement suffisant pour cibler plusieurs lignes de produits en parallèle.
Pour les équipes de sécurité gérant des environnements Cisco mixtes, cette situation souligne l'importance d'un suivi structuré des avis PSIRT Cisco plutôt qu'une approche réactive produit par produit. Intégrer les alertes PSIRT Cisco dans un processus de veille sur les menaces permet de réagir aux nouvelles divulgations dans la même famille de produits dans des délais compatibles avec la rapidité d'exploitation observée.
Cisco Unified CM gère la téléphonie d'entreprise dans des milliers d'organisations mondiales : téléphones IP, conférences audio, files d'attente d'appels, enregistrement des communications, et intégrations avec des systèmes d'information critiques comme les CRM, ERP, et plateformes de centre de contact. Un accès root au serveur Unified CM donne à un attaquant le contrôle complet de cette infrastructure.
Les conséquences opérationnelles d'un tel accès sont multiples. Les enregistrements d'appels stockés localement peuvent contenir des informations sensibles sur des négociations commerciales, des échanges avec des clients, ou des décisions stratégiques. L'annuaire des postes internes expose la structure organisationnelle avec les noms et coordonnées des employés, une ressource précieuse pour préparer des attaques d'ingénierie sociale ciblées. Les configurations de centre de contact révèlent des informations sur les processus métier et les systèmes backend.
L'accès root peut également servir de pivot vers d'autres systèmes internes. Unified CM s'intègre typiquement avec Active Directory pour l'authentification, avec Exchange ou Microsoft 365 pour la messagerie vocale unifiée, et avec des bases de données internes pour les annuaires. Les comptes de service et certificats stockés sur le serveur peuvent être exploités pour atteindre ces systèmes adjacents. Evaluer l'étendue de sa surface d'exposition doit inclure les serveurs de communications unifiées comme composantes critiques de l'infrastructure.
La priorité immédiate est de vérifier le statut du service WebDialer sur chacun de vos serveurs Cisco Unified CM et Unified CM SME. Si WebDialer est arrêté, le risque lié à CVE-2026-20230 est maîtrisé pour ce serveur dans l'immédiat. Si WebDialer est actif, appliquez 14SU6 pour les systèmes en Release 14, ou le COP1 pour les systèmes en Release 15. Si le déploiement du correctif ne peut pas être réalisé immédiatement, désactivez WebDialer temporairement via l'interface d'administration.
En parallèle, une revue des journaux HTTP de Cisco Unified CM pour la période postérieure au 3 juin 2026 permet de rechercher des requêtes anormales ciblant les points d'extrémité WebDialer, notamment celles contenant des URI file:// ou des paramètres inhabituels. Si de telles requêtes sont identifiées, une inspection de l'intégrité du système de fichiers du serveur doit suivre : cherchez des fichiers dont la date de création ne correspond pas à des mises à jour connues de Unified CM, des modifications de fichiers de configuration système, ou des nouveaux comptes créés au niveau du système d'exploitation.
La surveillance des indicateurs de compromission associés à CVE-2026-20230 dans les journaux réseau permet de détecter des tentatives en cours et de confirmer rétrospectivement si votre environnement a été ciblé pendant la fenêtre d'exposition précédant l'application du correctif.
Non. WebDialer est désactivé par défaut dans les nouvelles installations de Cisco Unified CM et Unified CM SME. Cependant, il est souvent activé dans les déploiements d'entreprise pour permettre des intégrations avec des CRM, des clients Cisco Jabber, ou des applications de centre de contact. Si vous avez un doute sur son statut, vérifiez-le dans l'interface d'administration via Control Center - Feature Services plutôt que de supposer qu'il est inactif.
Cisco a rendu disponible un fichier COP (Cisco Options Package), référencé COP1 pour la Release 15, qui permet d'appliquer le correctif de CVE-2026-20230 sans attendre la release complète 15SU5. Vérifiez auprès de Cisco ou de votre partenaire de support l'identifiant exact du COP applicable à votre version. En alternative, la désactivation de WebDialer constitue une mesure compensatoire valide pour la période intermédiaire.
Non. Les fonctionnalités de téléphonie de base (appels IP, messagerie vocale, conférences audio, files d'attente d'appels, enregistrement) restent opérationnelles sans WebDialer. Seule la capacité d'initier des appels depuis un navigateur web ou via une intégration TAPI tierce est perdue. Si vos utilisateurs ou applications dépendent de cette fonctionnalité, planifiez la désactivation en coordination avec les équipes concernées et rétablissez le service après application du correctif.
Examinez les journaux HTTP du serveur pour des requêtes anormales vers les points d'extrémité WebDialer, notamment celles contenant des URI file://. Vérifiez l'intégrité du système de fichiers en cherchant des fichiers créés à des dates ne correspondant pas à des mises à jour connues. Contrôlez les comptes utilisateur au niveau du système d'exploitation pour détecter des créations non autorisées. Si votre IDS/IPS dispose de journaux historiques, une recherche rétrospective des payloads caractéristiques de CVE-2026-20230 peut confirmer si votre système a été ciblé.
Non, ce sont deux vulnérabilités distinctes affectant deux lignes de produits différentes. CVE-2026-20230 affecte Cisco Unified Communications Manager et concerne le composant WebDialer. CVE-2026-20262 affecte Cisco Catalyst SD-WAN Manager et implique un mécanisme d'authentification distinct. Les deux ont été divulguées dans la même période et présentent toutes deux des indicateurs d'exploitation active, mais elles ne partagent ni le même code ni le même vecteur d'attaque.
Oui. Cisco Unified CM SME partage la même base de code pour le composant WebDialer. Les deux produits sont affectés par CVE-2026-20230 de manière identique, et les mêmes correctifs (14SU6, COP1 ou 15SU5) s'appliquent aux deux. Les mesures compensatoires fonctionnent également de la même manière sur les deux variantes.
Le Bug ID Cisco interne est CSCws67331. Cet identifiant peut être utilisé dans la base de données de bugs Cisco (Cisco Bug Search Tool) pour obtenir des informations supplémentaires sur le statut du correctif, les versions affectées confirmées, et les éventuelles notes de mise à jour liées à cette vulnérabilité.
Les plateformes de communications unifiées occupent une position architecturale particulière dans l'infrastructure d'entreprise. Elles s'intègrent à Active Directory pour l'authentification, aux systèmes de messagerie pour la messagerie vocale unifiée, aux CRM pour les fonctionnalités click-to-call, et aux bases de données internes pour les annuaires d'entreprise. Cette position d'intégration centrale signifie qu'un serveur Unified CM n'est pas uniquement une cible en soi ; il est aussi un noeud depuis lequel un attaquant dispose de credentials, de certificats et de connexions réseau vers des systèmes adjacents dont la compromission représente la véritable valeur stratégique de l'opération.
En 2026, les vulnérabilités affectant les plateformes de téléphonie d'entreprise sont devenues une priorité croissante pour les acteurs de la menace, notamment ceux ciblant les environnements Cisco. La coexistence de CVE-2026-20230 et CVE-2026-20262 dans la même fenêtre temporelle, sur deux lignes de produits Cisco différentes, est cohérente avec l'hypothèse que des équipes spécialisées investissent dans la recherche de vulnérabilités sur l'écosystème Cisco plutôt que de cibler un seul produit de manière opportuniste. Pour les équipes de sécurité gérant des environnements Cisco, la surveillance structurée des avis PSIRT Cisco et l'intégration de ces informations dans un processus de veille sur les menaces est plus efficace qu'une réponse réactive produit par produit. Suivre la surface d'exposition de l'ensemble des produits Cisco déployés, et non seulement les produits pour lesquels un incident récent a été signalé, est la posture qui permet d'agir avant que l'exploitation ne soit déjà en cours.
Ce type de menace illustre un problème structurel : les informations critiques sur une campagne active circulent d'abord dans des canaux fermés, forums clandestins et groupes Telegram privés, avant d'atteindre les équipes de sécurité par les canaux habituels. Le temps perdu dans cet écart est souvent celui où l'exploitation est la plus active.
Defendis surveille ces sources en continu. Votre équipe reçoit des signaux d'alerte pertinents avant que l'incident ne devienne public, avec le contexte nécessaire pour agir : nature de la menace, infrastructure associée, secteurs ciblés. Sans que vos analystes aient à patrouiller eux-mêmes dans des espaces qu'ils ne devraient pas avoir à fréquenter.
