Cisco 電話總機 Unified CM 的漏洞已被攻擊：有開 WebDialer 才會中招，暫時關掉可止血，正解是升級

一句話看懂：Cisco 企業電話總機 Unified CM 有個漏洞已被實際攻擊，美國 CISA 在 6 月 25 日把它列入警告清單；只有開了 WebDialer 功能的系統會中招，沒必要用的話先關掉，再排程升級。

先用白話講：Unified CM 與 SSRF 是什麼？

Unified CM 是大公司或學校的「電話總機」，所有分機都靠它管理。它裡面有個 WebDialer 小功能，讓你在網頁上點一下電話號碼就能撥號。

這次的漏洞叫 SSRF（伺服器端請求偽造）。想像一位櫃檯人員只服從內部人員，攻擊者本來進不了辦公室，卻能騙櫃檯人員幫他把一份文件送進內部。對電腦來說就是：攻擊者送出特製的網路請求，讓伺服器自己發出請求，繞過外面的防護。

發生什麼事

• 6 月 3 日：Cisco 發布安全公告 cisco-sa-cucm-ssrf-cXPnHcW，並釋出修補更新
• 6 月：Cisco 表示察覺到這個漏洞有實際攻擊，也知道已有公開的概念驗證攻擊碼
• 6 月 25 日：CISA 把 CVE-2026-20230 加進已知遭利用漏洞（KEV）清單，KEV 清單記載的美國聯邦機構處理期限是 6 月 28 日

它有多危險

• 攻擊者不需要登入，只要送出特製的 HTTP 請求
• 成功後可以把檔案寫進底層作業系統，之後可能被用來提權到 root（最高權限）
• CVSS 分數 8.6，但 Cisco 特別把嚴重性評為 Critical（嚴重），理由是可能導致提權到 root
• 前提是 WebDialer 服務要啟用，預設是關閉的

該怎麼做

Cisco 強調這只是暫時辦法，而且沒有其他替代修補；關閉服務前先評估對自己環境的影響。

給管理者的技術細節

• 受影響產品：Cisco Unified CM 與 Unified CM SME，且 WebDialer 已啟用
• 修正版本（以公告 2026-07-01 最後更新的版本為準）：14 版是 14SU6；15 版是 15SU5（公告標示 2026 年 9 月）或套用 COP 修補檔，修補檔與版本綁定，要看修補檔隨附的 README
• 弱點類型：CWE-918（SSRF）
• CVSS 3.1 向量：AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N，8.6 分
• 公告表示沒有替代修補（workaround），暫時關閉 WebDialer 是緩解措施，不是修補

我的看法

我平常接的案子多半是網站與雲端服務，很少碰到這種企業電話系統。但這則新聞有個很有用的提醒：「預設關閉」不代表「沒有人開」。很多功能是當年某個需求順手打開，之後就沒人記得，等到漏洞出現才發現自己在受影響名單裡。

給自架服務的朋友一個習慣：定期盤點一次「到底開了哪些服務」，沒用到的就關掉。這比事後追著修補檔跑有效，也不需要花錢。

另一個提醒是，公告 6/3 就發了，卻在 6/25 被列入遭利用清單，中間有三週。看到「嚴重」等級的公告，不要等被攻擊才處理。

名詞小辭典

• Unified CM：Cisco 的企業電話總機系統，管理公司內的電話與通話。
• WebDialer：Unified CM 的一項服務，讓使用者在網頁上點號碼就能撥打。
• SSRF（Server-Side Request Forgery）：騙伺服器代替攻擊者發出請求，繞過原本擋在外面的防護。
• KEV：CISA 公布的「已知遭利用漏洞」清單，有實際攻擊證據才會收錄。

資料來源

• CISA：CISA Adds Two Known Exploited Vulnerabilities to Catalog（2026-06-25）
• Cisco Security Advisory：cisco-sa-cucm-ssrf-cXPnHcW