Cisco Unified CM SSRF脆弱性CVE-2026-20230でWebシェル多発、Tor経由の自動攻撃が継続中

「うちのCisco UCM、今も普通に動いてるし大丈夫かな」
「SSRFってどういう脆弱性なの？なんでroot権限まで取られるの？」

チップス

ボスー！Cisco UCMにWebシェルを仕込まれるって本当でしゅか？しかもroot権限まで取られるって怖いんでしゅけど！

ボス

本当だ。WebDialerという機能を入り口にファイルを書き込まれ、最終的にrootまで到達できる4段階の攻撃チェーンが確認されている。しかもTorで自動化された攻撃が、今この瞬間も走っているぞ。

Cisco Unified Communications Manager（CUCM）のSSRF脆弱性CVE-2026-20230が実際に悪用され始めています。
パッチは6月3日に提供済みですが、未適用の環境では今すぐWebシェルを設置される恐れがあります。
この記事ではCVE-2026-20230の攻撃の流れと、今すぐ取るべき対策を解説します。

CUCMは大企業から中堅企業まで広く使われているIP電話基盤です。
今回の脆弱性を放置すると、社内の電話インフラごと攻撃者に掌握される恐れがあります。

Cisco UCMへの攻撃が急増、Webシェル設置でサーバーを遠隔操作

2026年6月3日、CiscoはCVE-2026-20230の修正パッチを公開しました。
しかし公開からわずか3週間後の6月23日、脅威インテリジェンス企業Defusedがハニーポットで最初の悪用を観測します。
翌24日には攻撃がTor経由の自動スキャンに拡大し、CUCMへのWebシェル投下が多発しています。

WebDialerを有効にしている環境が標的、今も攻撃が継続中

今回の脆弱性の入り口はWebDialerコンポーネントです。
WebDialerはブラウザからワンクリックで内線発信できる機能で、デフォルトは無効ですが、多くの企業環境で使い勝手のため有効化されています。
影響するバージョンは以下の通りです。

Ciscoは回避策なしと明言しており、パッチ適用かWebDialerの無効化が唯一の対策です。
6月24日時点でCISAのKEVカタログへの掲載はまだありませんが、実際の攻撃はすでに確認されています。

チップス

パッチが出てから3週間で攻撃されてるんでしゅか？はやすぎでしゅ！

ボス

PoCが公開されれば翌週には攻撃が始まるのが今の標準だ。「少し様子見してから」という判断が一番危ない。

4段階の攻撃チェーン、SSRFがなぜrootへの道になるのか

CVE-2026-20230の核心はSSRF（サーバーサイドリクエストフォージェリ）です。
WebDialerが受け取るHTTPリクエストの入力検証が不十分で、攻撃者が細工したURLを送り込むと、サーバー自身が指定した先にリクエストを発行してしまいます。
「file://」プロトコルを使うと、ファイルシステムへの直接書き込みまで可能になります。

Webシェル設置までの4ステップ

実際に確認された攻撃の流れをまとめます。

入り口はSSRFひとつですが、そこから確実にroot権限まで到達する手順が攻撃者の間で共有されてしまっています。
CUCMはVMware ESXi上のCisco UCSサーバーに展開されることが多く、乗っ取られると社内の電話インフラ全体が攻撃者の手に渡ります。

チップス

うちの会社、古いバージョンのままかもしれないんでしゅ。どうすればいいでしゅか？

ボス

今すぐ2つやれ。まずバージョンを確認する。v14なら14SU6、v15なら15SU5またはCOPパッチを当てる。パッチが間に合わないならWebDialerを今すぐ無効化するだけで攻撃経路を塞げるぞ。

まとめ：パッチ公開の3週間後に攻撃が始まる時代、「様子見」は通用しない

CVE-2026-20230は認証不要でWebシェルまで到達できる、Cisco UCMの深刻な脆弱性です。
Tor経由の自動攻撃が継続中の今、未パッチ環境には即時の対応が求められます。
パッチ適用が最優先ですが、間に合わない場合はWebDialerを無効化するだけで攻撃経路を遮断できます。
「まだ攻撃されていないから大丈夫」という判断が、侵害を招く一番の原因です。