Una vulnerabilità in Cisco Unified Communications Manager (Unified CM), la piattaforma usata da moltissime organizzazioni per gestire telefonia IP e comunicazioni aziendali, è passata dalla teoria alla pratica: dopo settimane dalla divulgazione, gli attaccanti hanno iniziato a sfruttarla attivamente. Il difetto, identificato come CVE-2026-20230, è una vulnerabilità di tipo SSRF (Server-Side Request Forgery) con punteggio CVSS pari a 8,6.

Il meccanismo della falla

La vulnerabilità risiede nel servizio WebDialer e nasce da una validazione impropria di specifiche richieste HTTP. Un attaccante non autenticato e da remoto può inviare una richiesta HTTP appositamente costruita per forzare il server a effettuare richieste verso destinazioni scelte da lui. Negli attacchi osservati, l'aggressore ha utilizzato payload file:// per scrivere file sul sistema operativo sottostante: una primitiva che, concatenata ad altre tecniche, può essere sfruttata per elevare i privilegi fino a root, ottenendo di fatto il pieno controllo del dispositivo.

Le prime attività di sfruttamento sono state rilevate nel fine settimana, con attacchi provenienti da un singolo indirizzo IP. Il codice proof-of-concept era diventato pubblico già il 5 giugno 2026, e nei giorni successivi diversi ricercatori hanno segnalato tentativi di exploit, fino alla conferma dello sfruttamento attivo intorno al 22-23 giugno.

Chi è esposto e come difendersi

La falla interessa Cisco Unified CM e Unified CM Session Management Edition (SME) quando il servizio WebDialer è abilitato. Va sottolineato un dettaglio che riduce l'esposizione: WebDialer è disattivato per impostazione predefinita, quindi sono vulnerabili soltanto le installazioni in cui è stato esplicitamente attivato.

La raccomandazione di Cisco è di applicare quanto prima gli aggiornamenti software che correggono CVE-2026-20230, disponibili per i diversi rami di prodotto. Per chi non può intervenire immediatamente con la patch, la mitigazione più rapida consiste nel disabilitare il servizio WebDialer: poiché lo sfruttamento dipende dalla sua attivazione, spegnerlo elimina di fatto la superficie d'attacco raggiungibile. Trattandosi di sistemi spesso esposti e centrali per le comunicazioni aziendali, l'invito è a non rimandare: la disponibilità pubblica dell'exploit e lo sfruttamento già in corso rendono questa vulnerabilità una priorità di patching.