Cảnh báo: Lỗ hổng SSRF trên Cisco Unified CM có thể dẫn đến chiếm quyền Root (CVE-2026-20230)

Cisco vừa chính thức phát hành các bản vá bảo mật để khắc phục một lỗ hổng nghiêm trọng trong giải pháp quản lý truyền thông hợp nhất Unified Communications Manager (Unified CM). Lỗ hổng này cho phép kẻ tấn công từ xa, không cần xác thực, có thể thực hiện ghi tệp tùy ý và cuối cùng là chiếm quyền điều khiển cao nhất (root) trên các hệ thống bị ảnh hưởng.

Lỗ hổng được theo dõi dưới mã định danh CVE-2026-20230, có điểm số mức độ nghiêm trọng cao. Đáng chú ý, mã khai thác mẫu (Proof-of-Concept – PoC) của lỗ hổng này đã được công khai trên internet, điều này làm gia tăng đáng kể nguy cơ xảy ra các cuộc tấn công thực tế nhắm vào các doanh nghiệp đang sử dụng hệ thống của Cisco.

Chi tiết về lỗ hổng SSRF và cơ chế khai thác

Theo báo cáo từ Cisco, lỗ hổng này xuất phát từ lỗi Server-Side Request Forgery (SSRF) trong thành phần WebDialer của Cisco Unified CM và Unified Communications Manager Session Management Edition (Unified CM SME). Nguyên nhân chính là do hệ thống không kiểm tra đầy đủ các tham số đầu vào trong các yêu cầu HTTP được gửi đến dịch vụ này.

Kẻ tấn công có thể khai thác lỗ hổng bằng cách gửi các yêu cầu HTTP được thiết kế đặc biệt đến một thiết bị bị ảnh hưởng. Nếu khai thác thành công, kẻ tấn công có thể đánh lừa máy chủ thực hiện các yêu cầu thay mặt chúng, dẫn đến khả năng ghi các tệp tin tùy ý vào hệ thống tệp của máy chủ. Từ bước này, kẻ tấn công có thể thực hiện các kỹ thuật leo thang đặc quyền để giành quyền truy cập mức root (quản trị cao nhất).

Các phiên bản bị ảnh hưởng và khuyến nghị từ chuyên gia

Cisco xác nhận rằng lỗ hổng CVE-2026-20230 ảnh hưởng đến nhiều phiên bản của Cisco Unified CM và Unified CM SME. Các tổ chức sử dụng các giải pháp này được khuyến nghị kiểm tra ngay lập tức phiên bản hiện tại và áp dụng các bản cập nhật phần mềm do Cisco cung cấp.

Trong thông báo bảo mật, Cisco nhấn mạnh rằng chưa phát hiện bằng chứng về việc lỗ hổng này bị khai thác trong môi trường thực tế trước khi bản vá được công bố. Tuy nhiên, với việc mã nguồn khai thác đã xuất hiện công khai, các chuyên gia an ninh mạng tại VNCyberS khuyến cáo các quản trị viên hệ thống cần ưu tiên xử lý lỗ hổng này ngay lập tức để bảo vệ hạ tầng thông tin liên lạc của doanh nghiệp.

Người dùng có thể kiểm tra danh sách đầy đủ các phiên bản bị ảnh hưởng và tải xuống bản vá chính thức thông qua cổng thông tin hỗ trợ khách hàng của Cisco Systems.

VNCyberS tổng hợp từ The Hacker News và Cisco PSIRT