KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur untuk mewaspadai kerentanan berisiko tinggi pada Cisco Unified Communications Manager (Unified CM) dan Unified CM Session Management Edition (Unified CM SME) yang teridentifikasi dengan nomor CVE-2026-20230. Kerentanan ini memperoleh skor CVSS v3.1 sebesar 8.6 (High), telah dieksploitasi secara aktif di alam liar, dan telah masuk dalam katalog Known Exploited Vulnerabilities (KEV) CISA.
Cisco Unified CM dan Unified CM SME merupakan platform pemrosesan panggilan (call processing) yang menjadi inti sistem telepon dan komunikasi terpadu (VoIP) di banyak instansi pemerintah. Kompromi terhadap platform ini berdampak serius karena melayani seluruh layanan telepon dan komunikasi suara organisasi.
Ikhtisar
CVE-2026-20230 merupakan kerentanan server-side request forgery (SSRF, CWE-918) pada layanan WebDialer Cisco Unified CM dan Unified CM SME. Kerentanan berakar pada validasi masukan (input) yang tidak memadai, sehingga penyerang jarak jauh yang tidak terautentikasi dapat mengirim permintaan HTTP yang dimanipulasi melalui perangkat terdampak. Rantai eksploitasi ini berpotensi berujung pada penulisan berkas ke sistem operasi yang kemudian dapat dieskalasi hingga hak akses root. Eksploitasi hanya dapat berlangsung apabila layanan WebDialer dalam keadaan aktif.
Dampak
Eksploitasi yang berhasil dapat menimbulkan dampak sebagai berikut:
- Pengiriman permintaan HTTP yang dimanipulasi melalui perangkat terdampak tanpa autentikasi (SSRF).
- Penulisan berkas arbitrer ke sistem operasi di balik layanan yang terdampak.
- Eskalasi hak akses hingga root yang berpotensi berujung pada pengambilalihan penuh sistem (integritas tinggi, scope changed).
- Gangguan terhadap seluruh layanan telepon dan komunikasi suara organisasi.
Sistem yang Terdampak
Kerentanan hanya berlaku apabila layanan WebDialer diaktifkan.
| Produk | Versi Terdampak | Versi Perbaikan |
|---|---|---|
| Cisco Unified CM / Unified CM SME (Rilis 14) | Semua versi 14.0 – 14SU5 (sebelum 14SU6) | 14SU6 atau lebih baru |
| Cisco Unified CM / Unified CM SME (Rilis 15) | Semua versi 15.0 – 15SU4a (sebelum 15SU5) | Berkas patch COP dari Cisco (rilis permanen 15SU5 dijadwalkan September 2026) |
Detail Teknis
Kerentanan bersumber dari validasi masukan yang tidak memadai pada layanan WebDialer. Karena masukan tidak diperiksa dengan benar, penyerang yang tidak terautentikasi dapat menyusun permintaan HTTP khusus dan memaksa sistem terdampak untuk mengirimkan permintaan tersebut atas nama penyerang (SSRF). Prasyarat eksploitasi adalah layanan WebDialer harus dalam keadaan aktif.
Dengan memanfaatkan celah SSRF ini, penyerang berpotensi menulis berkas ke sistem operasi di baliknya. Kemampuan menulis berkas tersebut selanjutnya dapat dirangkai untuk melakukan eskalasi hak akses hingga root, sehingga penyerang memperoleh kendali penuh atas server. Cisco PSIRT telah mengonfirmasi adanya eksploitasi aktif terhadap kerentanan ini, dan kode eksploit proof-of-concept telah beredar secara publik. CISA memasukkan CVE-2026-20230 ke dalam katalog KEV pada 25 Juni 2026 dengan tenggat remediasi 28 Juni 2026. Tidak tersedia workaround; menonaktifkan layanan WebDialer dapat menjadi mitigasi sementara apabila perbaikan belum dapat diterapkan.
Rekomendasi
- Lakukan pembaruan. Tingkatkan Cisco Unified CM/Unified CM SME rilis 14 ke versi 14SU6 atau lebih baru; untuk rilis 15, terapkan berkas patch COP resmi dari Cisco (perbaikan permanen dijadwalkan pada rilis 15SU5, September 2026).
- Terapkan mitigasi sementara. Bila pembaruan belum dapat diterapkan, nonaktifkan layanan WebDialer pada sistem terdampak karena tidak tersedia workaround lain.
- Batasi paparan. Pastikan antarmuka administrasi dan layanan Unified CM tidak terekspos langsung ke internet; batasi akses ke jaringan tepercaya.
- Periksa indikasi kompromi. Tinjau log untuk permintaan HTTP yang tidak wajar ke layanan WebDialer serta kemunculan berkas asing pada server.
- Pantau aktivitas. Aktifkan pemantauan dini terhadap upaya akses tidak sah dan aktivitas mencurigakan pada komponen Unified CM.
Perangkat Daerah yang menggunakan Cisco Unified CM atau Unified CM SME dan membutuhkan pendampingan teknis dapat menghubungi KUTIM-CSIRT melalui kanal pelaporan resmi.