Branle-bas de combat chez les agences fédérales américaines. La CISA (l’agence américaine chargée de la cybersécurité et des infrastructures critiques) demande de corriger sans délai une faille touchant Cisco Unified Communications Manager. Les administrations fédérales ont jusqu’à dimanche pour appliquer le correctif, après la confirmation d’une exploitation active dans des attaques.
La vulnérabilité est suivie sous la référence CVE-2026-20230. Cisco l’a corrigée le 3 juin dans Unified Communications Manager (aussi appelé Unified CM) et dans Unified CM Session Management Edition. L’agence canadienne de cybersécurité a relayé le 26 juin que Cisco fait état d’un code d’exploitation de preuve de concept disponible. La CISA a ajouté la faille à son catalogue des vulnérabilités exploitées dans la nature le 25 juin. Les agences fédérales doivent donc remédier au problème avant la date limite fixée par sa directive sur les correctifs prioritaires.
Points clés
- La faille SSRF CVE-2026-20230 touche le composant WebDialer de Cisco Unified Communications Manager et peut mener aux privilèges root.
- Cisco a publié les correctifs le 3 juin (branches 14SU6 et 15SU5 à venir), avec une solution temporaire.
- La CISA a ajouté la vulnérabilité à son catalogue KEV le 25 juin, fixant une date butoir à dimanche pour les agences fédérales.
Une faille SSRF qui peut mener au root
Le défaut se situe dans le composant WebDialer de Cisco Unified CM. Cisco explique qu’une validation insuffisante de certaines requêtes HTTP permet à un attaquant distant non authentifié de mener une attaque de type SSRF (server-side request forgery, ou falsification de requête côté serveur) via un appareil affecté. Une exploitation réussie peut permettre d’écrire des fichiers sur le système d’exploitation sous-jacent, avec à la clé une escalade possible jusqu’aux privilèges root.
L’exploitation nécessite que le service WebDialer soit activé. Des chercheurs en cybersécurité ont signalé des tentatives utilisant des requêtes spécialement construites, avec des charges utiles de type file:// destinées à créer des fichiers sur la machine cible. Dans au moins une observation, l’objectif semblait être de déposer un fichier de test pour repérer les serveurs vulnérables.
La CISA met la pression sur les administrations fédérales
En inscrivant CVE-2026-20230 dans son catalogue KEV (Known Exploited Vulnerabilities), la CISA active le mécanisme qui force les agences fédérales à corriger les failles déjà exploitées. La date butoir est fixée à dimanche, quelques jours seulement après l’ajout. Le délai court s’inscrit dans la directive américaine sur les correctifs prioritaires, qui impose un traitement accéléré des failles activement utilisées dans des attaques.
Les produits concernés sont Cisco Unified Communications Manager et Cisco Unified Communications Manager Session Management Edition. Cisco a publié ses mises à jour le 3 juin. Les versions corrigées incluent notamment la branche 14SU6 et, pour la branche 15, le futur 15SU5, avec une solution temporaire en attendant. Les organisations qui n’ont pas encore appliqué le correctif font face à une fenêtre de remédiation très courte, alors que l’exploitation dans la nature est désormais confirmée.
