Cisco confirma explotación activa de la vulnerabilidad CVE-2026-20230 en Unified

Cisco ha confirmado oficialmente que actores de amenazas están explotando de forma activa la vulnerabilidad CVE-2026-20230 en Cisco Unified Communications Manager (Unified CM), una plataforma crítica utilizada por miles de organizaciones para gestionar sistemas de telefonía IP empresariales.

La vulnerabilidad, corregida inicialmente a principios de junio de 2026, ha pasado de ser un fallo con una prueba de concepto (PoC) pública a convertirse en una amenaza real que está siendo utilizada en ataques dirigidos. Ante este escenario, Cisco ha instado a sus clientes a aplicar inmediatamente las actualizaciones de seguridad disponibles o implementar las medidas de mitigación recomendadas para evitar compromisos de sus infraestructuras.

Este nuevo incidente pone de manifiesto la rapidez con la que los ciberdelincuentes convierten vulnerabilidades recientemente divulgadas en herramientas de ataque, especialmente cuando afectan a soluciones ampliamente implementadas en entornos corporativos.

¿Qué es Cisco Unified Communications Manager?

Cisco Unified Communications Manager (Unified CM), anteriormente conocido como Cisco CallManager, es la plataforma central encargada de administrar las comunicaciones unificadas dentro de las organizaciones.

Este sistema controla funciones esenciales como:

• Enrutamiento de llamadas VoIP.
• Gestión de teléfonos IP.
• Administración de dispositivos de comunicación.
• Servicios de videoconferencia.
• Integración con aplicaciones empresariales.
• Control de la infraestructura de telefonía corporativa.

Debido a su papel estratégico dentro de las redes empresariales, cualquier vulnerabilidad que afecte a Unified CM representa un objetivo de alto valor para los actores maliciosos.

¿En qué consiste la vulnerabilidad CVE-2026-20230?

La vulnerabilidad CVE-2026-20230 corresponde a un fallo de tipo Server-Side Request Forgery (SSRF) que puede ser explotado de forma remota por un atacante sin privilegios.

El problema reside en el servicio WebDialer, que procesa determinadas solicitudes HTTP sin validar correctamente los datos recibidos.

Un atacante puede enviar una solicitud HTTP especialmente diseñada para inducir al servidor vulnerable a realizar peticiones internas no autorizadas.

Según Cisco y los investigadores de seguridad, esta vulnerabilidad puede aprovecharse mediante cargas útiles file:// cuidadosamente construidas, permitiendo crear archivos en el sistema objetivo y facilitando nuevas fases del ataque.

Aunque inicialmente el fallo parecía limitado, la aparición de exploits funcionales demuestra que su impacto puede ser considerable dentro de infraestructuras empresariales.

De una prueba de concepto a ataques reales

Cuando Cisco publicó los parches de seguridad el 3 de junio de 2026, su equipo Product Security Incident Response Team (PSIRT) indicó que únicamente tenía conocimiento de la existencia de código de prueba de concepto disponible públicamente.

En aquel momento, la compañía aseguró que no existían evidencias de explotación activa.

Sin embargo, el panorama cambió rápidamente.

El 22 de junio, la firma de inteligencia de amenazas Defused informó que múltiples atacantes ya estaban explotando la vulnerabilidad utilizando cargas útiles file:// especialmente diseñadas para crear archivos en servidores vulnerables.

Poco después, la empresa SSD Secure publicó un análisis técnico detallado que incluía un exploit funcional y explicaba el funcionamiento interno de la vulnerabilidad, facilitando aún más su comprensión por parte de investigadores... y potencialmente también de actores maliciosos.

Este tipo de publicaciones suele acelerar la adopción de los exploits por grupos de ciberdelincuencia, especialmente cuando las organizaciones aún no han aplicado las actualizaciones correspondientes.

Cisco confirma la explotación activa

Tras varios días de especulación, Cisco actualizó oficialmente su aviso de seguridad para confirmar que CVE-2026-20230 está siendo explotada activamente.

La compañía indicó que:

Citar"El PSIRT de Cisco es consciente de que existe código de exploit de prueba de concepto para la vulnerabilidad descrita en este aviso. En junio de 2026, el PSIRT tuvo conocimiento de la explotación activa de esta vulnerabilidad."

Ante esta situación, Cisco reiteró la importancia de instalar las versiones corregidas del software lo antes posible para evitar compromisos adicionales.

La confirmación convierte oficialmente a CVE-2026-20230 en una vulnerabilidad explotada en entornos reales, aumentando significativamente su nivel de riesgo para organizaciones que continúan ejecutando versiones vulnerables.

Versiones afectadas y mitigaciones disponibles

Cisco recomienda actualizar inmediatamente a las versiones:

• Cisco Unified CM 14SU6
• Cisco Unified CM 15SU5
• O instalar el correspondiente paquete COP publicado durante septiembre de 2026.

Para aquellas organizaciones que, por razones operativas, no puedan actualizar inmediatamente, Cisco recomienda aplicar una medida temporal muy concreta:

Desactivar el servicio WebDialer

La compañía aconseja deshabilitar temporalmente el servicio WebDialer, responsable del componente vulnerable, hasta que sea posible instalar el parche definitivo.

Aunque esta medida puede afectar determinadas funciones de marcado web, reduce considerablemente la superficie de ataque y bloquea los intentos conocidos de explotación de CVE-2026-20230.

Más de 200 servidores siguen expuestos a Internet

La organización Shadowserver Foundation, especializada en monitorizar amenazas globales en Internet, informó que actualmente existen más de 200 instancias de Cisco Unified CM expuestas públicamente.

La mayoría de estos sistemas se encuentran ubicados en:

• Asia.
• Norteamérica.

No obstante, aún no existe información pública que permita determinar cuántos de esos servidores ya han sido actualizados o permanecen vulnerables frente a los ataques activos.

La exposición directa de este tipo de plataformas incrementa considerablemente el riesgo de explotación automatizada mediante escaneos masivos realizados por grupos de ciberdelincuencia.

Un historial preocupante de vulnerabilidades en Cisco Unified CM

El nuevo incidente no constituye un caso aislado.

Durante los últimos años, Cisco ha corregido múltiples vulnerabilidades críticas que afectan a Unified Communications Manager.

Entre ellas destacan:

• CVE-2024-20253, que permitía obtener privilegios de administrador.
• CVE-2025-20309, utilizada para conseguir acceso con privilegios root.
• CVE-2026-20045, una vulnerabilidad de ejecución remota de código (RCE) que fue explotada activamente como un zero-day antes de que existiera un parche oficial.

Este historial demuestra que Unified CM continúa siendo un objetivo prioritario para investigadores de seguridad y grupos de amenazas debido a su amplia presencia en grandes organizaciones.

CISA mantiene a Cisco entre los fabricantes más atacados

La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) continúa incorporando vulnerabilidades de Cisco a su catálogo de fallos explotados activamente (Known Exploited Vulnerabilities Catalog).

Desde noviembre de 2021, la agencia ha identificado 93 vulnerabilidades de Cisco explotadas en ataques reales.

De ellas, al menos seis han sido utilizadas por operadores de ransomware para comprometer redes corporativas, reforzando la importancia de aplicar parches de seguridad con rapidez.

La inclusión recurrente de productos Cisco en este catálogo refleja el elevado interés que despiertan sus soluciones entre los ciberdelincuentes debido a su amplia implantación en infraestructuras críticas, empresas multinacionales y organismos gubernamentales.

Recomendaciones para proteger Cisco Unified CM

Ante la confirmación de ataques activos, los administradores de TI y equipos de ciberseguridad deberían actuar con prioridad para reducir el riesgo de compromiso. Entre las principales recomendaciones se encuentran:

• Actualizar inmediatamente a Cisco Unified CM 14SU6 o 15SU5.
• Instalar los paquetes COP publicados por Cisco si la actualización completa no es posible.
• Deshabilitar temporalmente el servicio WebDialer como medida de mitigación.
• Revisar los registros del sistema en busca de solicitudes HTTP inusuales o intentos de explotación mediante cargas file://.
• Limitar la exposición de servidores Unified CM a Internet mediante firewalls y controles de acceso.
• Implementar soluciones de monitorización y detección de anomalías para identificar actividades sospechosas en tiempo real.

La rápida transición de CVE-2026-20230 desde una vulnerabilidad con prueba de concepto pública hasta una amenaza explotada activamente evidencia la necesidad de mantener una estrategia de gestión de parches ágil y eficaz. Para las organizaciones que dependen de Cisco Unified Communications Manager como plataforma de comunicaciones críticas, retrasar la actualización puede abrir la puerta a compromisos que afecten la disponibilidad, la integridad y la seguridad de toda la infraestructura corporativa.

Fuente: You are not allowed to view links. You are not allowed to view links. Register or Login or You are not allowed to view links. Register or Login