思科统一通信管理器曝出高危漏洞，随公开利用代码流出厂商紧急发布补丁

鹏鹏同学
鹏鹏同学

黑猫安全

2026年6月5日 08:54
湖北

在小说阅读器读本章

去阅读

思科已修复一处高危漏洞（漏洞编号：CVE-2026-20230），该漏洞影响统一通信管理器（Unified CM）与统一通信管理器小型企业版（Unified CM SME）。该漏洞源于部分 HTTP 请求校验逻辑不当，未经身份验证的远程攻击者可借助该漏洞发起 \\ 服务器端请求伪造（SSRF）\\ 攻击。思科警示，目前已有漏洞验证 POC 代码公开泄露，漏洞利用成功后，攻击者可写入文件，后续利用该文件获取服务器最高 root 权限。

安全公告原文写道：“此漏洞由特定 HTTP 请求的输入校验缺失引发。攻击者向受影响设备发送构造后的特制 HTTP 请求，即可完成漏洞利用。”“漏洞利用成功后，攻击者能够向底层操作系统写入文件，依托该文件后续提权至 root 管理员权限。”

思科将本漏洞定级为 \\ 严重（Critical）\\ 而非高危（High），原因是漏洞得逞可实现 root 权限提升。不过漏洞利用存在配置前提：仅在开启 WebDialer 拨号网页服务时才可被利用，受影响设备默认状态下该服务为关闭。

暂无完整替代规避方案。这家网络设备厂商建议管理员在部署补丁前，通过停用 WebDialer 服务降低安全风险。运维人员操作路径：登录 Unified CM 管理后台→进入统一服务管理页面→在工具菜单中打开服务启用项→在 CTI 服务分类下取消勾选 WebDialer 网页服务，保存配置即可。

思科确认：该漏洞的 POC 利用代码已对外公开；但思科产品安全事件响应团队（PSIRT）暂未监测到野外环境中利用此漏洞的实际攻击行为。

公告文末说明：“思科 PSIRT 已知悉本公告所述漏洞已有概念验证利用代码流出；暂未发现针对该漏洞的实际恶意入侵案例。”