Handling påkrævet: eMUdhra-certifikatmyndighedens sikkerhedsopdatering til Webex Calling Local Gateways

Efter sikkerhedshændelsen i eMUDHRA Certificate Authority (CA) i oktober 2026 fjernede tilliden til fire Webex Calling rodcertifikatudstedere. Hvis din certifikatbaserede Local Gateway-trunk er afhængig af en af disse myndigheder, skal du udskifte det berørte certifikat eller kæde for at opretholde sikker TLS-forbindelse. Hvis en berørt trunk er offline, er indgående og udgående PSTN-opkald og integrationer i det lokale miljø, der afhænger af den, muligvis ikke tilgængelige.

De berørte rodcertifikater er:

EmSign Root TLS-CA - G3
EmSign ECC Root CA - G3
emSign Root CS CA - G3
AAA-certifikattjenester (root af Comodo AAA-tjenester)

AAA Certificate Services blev ikke kompromitteret. Den krydsunderskrev dog de berørte eMUdhra-mellemliggende CA'er, hvilket gav en alternativ tillidssti til de kompromitterede certifikater.

Kunder, der bruger certifikatbaserede Local Gateway-trunker (LGW), hvis certifikatkæder er afhængige af disse myndigheder, påvirkes. Dette inkluderer Sectigo-udstedte certifikater, der kædes til AAA Certificate Services gennem UserTrust.

Webex Callingafviser nu TLS-forbindelser fra berørte lokale gateways. Indgående og udgående PSTN-opkald og opkaldsintegrationer i det lokale miljø, der er afhængige af disse gateways, vil mislykkes.

Fra en autoriseret computer, der kan nå gatewayens SIP TLS-port, skal du køre den relevante kommando. Erstat lgw.example.com og 5061 med gateway-værtsnavnet og TLS-porten. Hvis ekstern adgang er begrænset, skal du køre kommandoen fra en autoriseret intern administrationshost.

Linux eller macOS:

openssl s_client -connect lgw.example.com:5061 -showcerts </dev/null

Windows Kommandoprompt:

openssl s_client -connect lgw.example.com:5061 -showcerts <NUL

Før du begynder

Du skal have adgang til Control Hub med tilladelse til at få vist organisationens trunker.
Gateway-værtsnavnet og SIP TLS-porten for hver primær-, redundant- og backup-gateway.
Adgang til en autoriseret computer med OpenSSL, der kan nå hvert gateway-slutpunkt.

Identificer dine lokale gateway-trunker.

Gå til Services > PSTN & Routing > Gat eway-konfigurationer > Tr unk i Control Hub.
For kunder, der bruger Cisco-opkaldsplanen, er stamlisten også tilgængelig under Service > Op kald > Op kaldsdirigering > Trunk.
Identificer certifikatbaserede trunker, og registrer den konfigurerede FQDN- eller SRV-adresse, gateway-værtsnavn og SIP TLS-port. Gentag for redundante gateways og sikkerhedskopieringsgateways.

Undersøg hver gateways certifikatkæde.

Kør den relevante OpenSSL-kommando. Outputet viser certifikater, der præsenteres af den lokale gateway; det verificerer ikke uafhængigt hele kæden i forhold til til Webex Calling lidslageret.
En TLS-håndtryksfejl eller mislykket OpenSSL-bekræftelse beviser ikke, at gatewayen er påvirket af denne tillidsopdatering.

Gennemgå certifikatemner og udstedere.

Gennemgå hvert certifikats emne (er) og udsteder (i:) i afsnittet Certifikatkæde. Kontroller det almindelige navn (CN) og hver kædepost for de mistroede myndigheder, der er anført ovenfor.
For eksempel identificerer en post med emnet CN=UserTrust RSA Certification Authority og udsteder CN=AAA Certificate Services et certifikat udstedt af AAA Certificate Services.

Fortolke inspektionsresultaterne.

Certifikatkæderesultat	Status
Enhver s: eller i: linje viser AAA Certificate Services eller en berørt emSign-myndighed	Berørt. Afhjælpning nu.
Ingen af de berørte myndigheder vises, og bagagerummet er Online i Control Hub	Ikke berørt.
Ingen af de berørte myndigheder vises, men bagagerummet er offline	Kontakt din partner eller Cisco TAC for at bekræfte i forhold til Ciscos liste over berørte kunder.
Forbindelsen går ud, eller der returneres ingen certifikatkæde	Ukonklusiv. Bekræft netværksadgang til gatewayens TLS-port, og prøv igen.

En gateway bekræftes kun som ikke påvirket, når ingen af de anførte rødder vises, og stammen er online i Control Hub.

Udskift en berørt certifikatkæde.

Kontakt din certifikatudbyder for at få et erstatningscertifikat eller en alternativ kæde, der afsluttes ved en root, som du har tillid til. Webex Calling I mange tilfælde kan det eksisterende gateway-certifikat bevares, og kun mellemkæden udskiftes. For berørte Sectigo-implementeringer kan dette indebære udskiftning af det AAA-krydssignerede UserTrust-certifikat med et passende alternativ.
Installer den opdaterede certifikatkæde på din lokale gateway, og gentag certifikatkontrollen.
Bekræft, at trun ken viser Online i Control Hub, og test indgående og udgående opkald.

Bekræft Local Gateway-forbindelse.

Gentag OpenSSL-inspektionen og bekræft, at udskiftningskæden ikke længere afhænger af de mistroede myndigheder.
I Control Hub skal du bekræfte, at bagagerummet viser Online.
Test indgående og udgående PSTN-opkald og opkaldsintegrationer i det lokale miljø, der bruger trunken.
Gentag validering for sikkerhedskopiering og redundante gateways.

Hvad skal man gøre næste

Hvis kæden vises korrekt, men bagagerummet forbliver Offline, Forringet eller Ukendt:

Kontroller, at certifikatet er gyldigt og installeret korrekt.
Kontroller hele den mellemliggende CA-kæde og den forventede certifikatidentitet.
Gennemse TLS-forbindelses- og certifikatvalideringsfejl på gatewayen.
Kontakt din certifikatudbyder, Cisco-partner eller Cisco Technical Assistance Center (TAC), hvis problemet fortsætter. Når du kontakterCisco Technical Assistance Center, skal du angive dit organisations-id, berørte trunkoplysninger, gateway-værtsnavn, certifikatkædeoplysninger og relevante TLS-fejlmeddelelser.

Relaterede oplysninger:

Cisco AI Assistant

Tak for din feedback.

Små virksomheder

Virksomhed

Enheder

Løsninger til

Ressourcer

Virksomhed