Cisco a publié une alerte de sécurité concernant une vulnérabilité critique affectant ses solutions de communication unifiée. La faille, identifiée sous la référence CVE-2026-20230, touche les plateformes Cisco Unified Communications Manager (Unified CM) ainsi que Cisco Unified Communications Manager Session Management Edition (Unified CM SME).
Cette vulnérabilité de type Server-Side Request Forgery (SSRF) pourrait permettre à un attaquant distant non authentifié d’exécuter des requêtes côté serveur, d’écrire des fichiers sur le système sous-jacent et, dans certains scénarios, d’obtenir des privilèges élevés pouvant conduire à un accès root.
Une validation insuffisante des requêtes HTTP
Selon l’avis de sécurité publié par Cisco, la vulnérabilité résulte d’une validation insuffisante de certaines requêtes HTTP traitées par la plateforme.
Un attaquant peut envoyer une requête spécialement conçue afin de forcer le serveur vulnérable à effectuer des requêtes internes non autorisées. Cette technique SSRF permet de contourner certaines restrictions de sécurité et d’interagir avec des ressources normalement inaccessibles depuis Internet.
Bien que le score CVSS officiel soit de 8,6 sur 10, Cisco considère cette vulnérabilité comme particulièrement dangereuse en raison de son potentiel d’élévation de privilèges vers le compte root.
Le service WebDialer au cœur du problème
L’exploitation de la faille dépend d’une condition spécifique : le service WebDialer doit être activé sur le système concerné.
Ce composant, utilisé dans certaines infrastructures de téléphonie IP Cisco, est désactivé par défaut. Toutefois, de nombreuses organisations continuent de l’utiliser pour des fonctionnalités avancées de gestion des appels et d’intégration téléphonique.
Les administrateurs peuvent vérifier l’état du service directement depuis l’interface Cisco Unified Serviceability afin de déterminer leur niveau d’exposition.
Une preuve de concept publique augmente le risque
La menace a pris une nouvelle dimension après la publication d’une preuve de concept (PoC) fonctionnelle démontrant l’exploitation de la vulnérabilité.
Comme l’explique l’analyse publiée par CyberC4st, Cisco a confirmé que du code d’exploitation est désormais accessible publiquement.
Même si aucun cas d’exploitation malveillante n’a été officiellement observé à ce jour, la disponibilité d’une PoC réduit considérablement la barrière technique pour les cybercriminels.
Dans ce type de situation, la publication d’un exploit entraîne souvent une multiplication rapide des scans Internet automatisés et des tentatives de compromission ciblant les systèmes non corrigés.
Des infrastructures critiques potentiellement exposées
Les solutions Unified Communications Manager occupent une place stratégique dans de nombreuses entreprises et administrations.
Elles assurent la gestion de plusieurs services critiques, notamment :
- La téléphonie IP d’entreprise ;
- Les annuaires et services d’authentification ;
- Les plateformes collaboratives ;
- Les systèmes de visioconférence ;
- Les infrastructures de communication internes.
Une compromission réussie pourrait donc offrir aux attaquants un point d’entrée privilégié vers l’ensemble du système d’information.
Produits concernés par CVE-2026-20230
Cisco indique que les produits suivants sont affectés :
- Cisco Unified Communications Manager (Unified CM) ;
- Cisco Unified Communications Manager Session Management Edition (Unified CM SME).
La vulnérabilité concerne uniquement les systèmes sur lesquels le service WebDialer est activé.
Correctifs disponibles
Cisco a déjà publié des mises à jour de sécurité afin de corriger cette faille.
Les versions corrigées comprennent notamment :
- Unified CM 14 SU6 ;
- Unified CM 15 SU5 ;
- Les correctifs COP associés recommandés par l’éditeur.
Les administrateurs sont invités à consulter le bulletin officiel Cisco afin d’identifier précisément les versions vulnérables présentes dans leur environnement.
Mesures de protection recommandées
Face à cette vulnérabilité critique, plusieurs actions doivent être mises en œuvre rapidement.
Appliquer les correctifs de sécurité
L’installation des mises à jour publiées par Cisco reste la mesure de protection la plus efficace contre CVE-2026-20230.
Désactiver WebDialer si possible
Si le service n’est pas indispensable aux opérations de l’entreprise, Cisco recommande sa désactivation temporaire jusqu’à l’application des correctifs.
Renforcer la surveillance
Les équipes SOC doivent surveiller activement :
- Les requêtes HTTP inhabituelles ;
- Les accès aux interfaces d’administration ;
- Les créations de fichiers suspectes ;
- Les tentatives d’élévation de privilèges ;
- Les comportements anormaux liés aux serveurs Unified CM.
Réaliser un audit d’exposition
Les organisations doivent également identifier tous les serveurs Unified CM accessibles depuis Internet ou exposés à des réseaux non fiables.
Des ressources complémentaires sont disponibles sur la National Vulnerability Database (NVD) afin d’aider les équipes de sécurité à évaluer leur exposition.
Un risque à surveiller de près
Même si Cisco affirme ne disposer d’aucune preuve d’exploitation active à ce jour, la combinaison d’une vulnérabilité critique, d’une élévation potentielle vers le compte root et de la disponibilité d’une preuve de concept publique constitue un facteur de risque important.
Les entreprises, administrations et opérateurs d’infrastructures critiques utilisant Cisco Unified CM doivent vérifier immédiatement si le service WebDialer est activé, appliquer les correctifs disponibles et renforcer leur surveillance afin de limiter toute tentative de compromission.
Cette affaire rappelle une nouvelle fois que les plateformes de communication unifiée représentent des cibles de choix pour les cyberattaquants en raison de leur rôle central dans les infrastructures numériques modernes.
