Die Lücke CVE-2026-20230 in Cisco Unified Communications Manager steht seit dem 3. Juni 2026 im Advisory und wird laut Cisco seit Juni ausgenutzt. Betroffen sind Unified CM und Unified CM SME der Versionen 14 und 15 mit aktivem WebDialer. Ein Workaround fehlt, die CISA setzte Behörden eine Frist bis zum 28. Juni 2026. Der Artikel nennt Fixversionen und Schritte für Betreiber.
Eine Lücke in Cisco Unified Communications Manager wird aktiv ausgenutzt, ohne dass Angreifer sich anmelden müssen. Cisco hat das Advisory am 1. Juli 2026 um diese Angabe ergänzt.
Das Wichtigste in Kürze
- Die Lücke CVE-2026-20230 wird laut Cisco aktiv ausgenutzt. Der Hersteller kennt seit Juni 2026 Angriffe, und Beispielcode ist öffentlich.
- Es gibt keinen Workaround. Wer WebDialer abschaltet, schliesst den Angriffsweg, patchen bleibt trotzdem nötig.
- Betroffen sind Unified CM und Unified CM SME der Versionen 14 und 15. Voraussetzung ist ein aktivierter WebDialer-Dienst, der standardmässig aus ist.
- Behörden in den USA mussten bis zum 28. Juni 2026 patchen. Die CISA nahm die Lücke in ihren Katalog ausgenutzter Schwachstellen auf.
Cisco-Lücke: Was dahintersteckt
Cisco hat das Advisory cisco-sa-cucm-ssrf-cXPnHcW am 3. Juni 2026 veröffentlicht und am 1. Juli 2026 in Version 1.1 aktualisiert. Die Lücke ist eine Server-Side Request Forgery. Sie entsteht durch unzureichende Prüfung bestimmter HTTP-Anfragen. Ein Angreifer kann damit ohne Anmeldung Dateien auf dem Betriebssystem ablegen und später die Rechte bis Root ausweiten.
Dabei liegt der CVSS-Wert bei 8.6. Cisco stuft die Lücke dennoch als kritisch ein, weil ein Angriff bis zu Root-Rechten führen kann.
Zudem berichtete BleepingComputer am 26. Juni 2026, das Sicherheitsunternehmen Defused beobachte Angriffe, bei denen Dateien auf betroffene Systeme geschrieben werden. Wer dahintersteckt, sei unbekannt. Zudem nahm die CISA die Lücke in ihren Katalog auf und setzte die Frist auf den 28. Juni. Im selben Zug listete sie eine kritische Lücke in PTC Windchill und FlexPLM (CVE-2026-12569).
Welche Versionen betroffen sind
Cisco nennt als Voraussetzung, dass der WebDialer-Dienst läuft. Die Fixversionen:
| Release | Erste Fixversion | Bemerkung |
|---|---|---|
| Unified CM 14 | 14SU6 | Update auf dieses Service Update oder neuer |
| Unified CM 15 | 15SU5 oder COP1 | 15SU5 nennt Cisco für September 2026, COP1 ist der Weg bis dahin |
Was Betreiber jetzt tun
- Prüfe, ob deine Unified-CM-Knoten mit Release 14 oder 15 laufen und WebDialer aktiv ist.
- Spiele unter Version 14 das Update 14SU6 ein, unter Version 15 das COP1-Paket.
- Schalte WebDialer ab, wenn du ihn nicht brauchst. Das ersetzt den Patch nicht.
- Prüfe die Knoten auf unbekannte Dateien, denn die Angriffe legen Dateien auf dem System ab.
Wie sich ausgenutzte Lücken in Netzwerk-Infrastruktur im Alltag zeigen, beschreibt der Artikel zu RouterOS mit zwei ausgenutzten Lücken.
Fazit
Telefonanlagen gelten oft als Randsystem, doch hier reicht eine Anfrage ohne Anmeldung bis zu Root-Rechten. Patche Release 14 und 15 zügig und deaktiviere WebDialer, wo er nicht gebraucht wird.
Quellen: Cisco Security Advisory, BleepingComputer. Foto: 526663 / Pixabay. Stand: 1. Juli 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.