Azione richiesta: aggiornamento della sicurezza dell'autorità di certificazione EmuDHRA per Webex Calling Local Gateway

In seguito all'incidente di sicurezza dell'autorità di certificazione (CA) di Emudhra dell'ottobre 2026, ha Webex Calling rimosso la fiducia in quattro CA principali. Se il suo trunk Local Gateway basato su certificati dipende da una di queste autorità, sostituisca il certificato o la catena interessati per mantenere una connettività TLS sicura. Se un trunk interessato è offline, le chiamate PSTN in entrata e in uscita e le integrazioni locali che dipendono da esso potrebbero non essere disponibili.

I certificati root interessati sono:

EmSign Root TLS AC - 3G
EmSign ECC Root AC - 3G
EmSign Root SC AC - 3G
Servizi di certificazione AAA (Comodo AAA Services root)

AAA Certificate Services non è stato compromesso. Tuttavia, ha firmato in modo incrociato le CA intermedie EmuDHRA interessate, fornendo un percorso di fiducia alternativo ai certificati compromessi.

I clienti che utilizzano trunk Local Gateway (LGW) basati su certificati le cui catene di certificati dipendono da queste autorità sono interessati. Ciò include i certificati emessi da Sectigo che si concatenano a AAA Certificate Services tramite UserTrust.

Webex Callingora rifiuta le connessioni TLS dai Local Gateway interessati. Le chiamate PSTN in entrata e in uscita e le integrazioni per le chiamate locali che si basano su questi gateway falliranno.

Da un computer autorizzato in grado di raggiungere la porta SIP TLS del gateway, esegua il comando applicabile. Sostituire lgw.example.com e 5061 con il nome host del gateway e la porta TLS. Se l'accesso esterno è limitato, esegua il comando da un host di gestione interno autorizzato.

Linux o macOS:

openssl s_client -connect lgw.example.com:5061 -showcerts </dev/null

Prompt dei comandi di Windows:

openssl s_client -connect lgw.example.com:5061 -showcerts <NUL

Prima che Lei cominci

Le serve l'accesso a Control Hub con il permesso di visualizzare i trunk dell'organizzazione.
Il nome host del gateway e la porta SIP TLS per ogni gateway primario, ridondante e di backup.
Accesso a un computer autorizzato con OpenSSL in grado di raggiungere ogni endpoint del gateway.

Identifichi i trunk del suo Local Gateway.

In Control Hub, vada su Servizi > PSTN e Routing > Configurazioni del gateway > Trunk.
Per i clienti che utilizzano il Cisco Calling Plan, l'elenco delle chiamate è disponibile anche in Assistenza > Chiamata > Routing delle chiamate > Trunk.
Identifica i trunk basati su certificati e registra l'indirizzo FQDN o SRV configurati, il nome host del gateway e la porta SIP TLS. Ripetere l'operazione per gateway ridondanti e di backup.

Ispeziona la catena di certificati di ogni gateway.

Esegui il comando OpenSSL applicabile. L'output mostra i certificati presentati dal Local Gateway; non verifica in modo indipendente l'intera catena rispetto al Webex Calling trust store.
Un errore di handshake TLS o una verifica OpenSSL non riuscita non dimostrano che il gateway sia interessato da questo aggiornamento di fiducia.

Esamini i soggetti e gli emittenti del certificato.

Nella sezione Catena di certificati, esamina l'oggetto (i) e l'emittente (i:) di ogni certificato. Controlli il nome comune (CN) e ogni voce della catena per le autorità diffidenti sopra elencate.
Ad esempio, una voce con oggetto CN=UserTrust RSA Certification Authority ed issuer CN=AAA Certificate Services identifica un certificato emesso da AAA Certificate Services.

Interpreti i risultati delle ispezioni.

Risultato della catena di certificati	Status
Qualsiasi riga s: o i: indica AAA Certificate Services o un'autorità EmSign interessata	Colpito. Rimediare ora.
Nessuna delle autorità interessate appare e il baule è online in Control Hub	Non interessato.
Nessuna delle autorità interessate appare, ma il baule è Offline	Contatti il suo partner o Cisco TAC per verificare l'elenco dei clienti interessati di Cisco.
La connessione è scaduta o non viene restituita alcuna catena di certificati	Inconcludente. Verifichi l'accesso di rete alla porta TLS del gateway e riprova.

Si conferma che un gateway non è interessato solo quando non viene visualizzata nessuna delle radici elencate e il trunk è online in Control Hub.

Sostituire una catena di certificati interessata.

Contatti il suo fornitore di certificati per ottenere un certificato sostitutivo o una catena alternativa che termini alla radice considerata affidabile daWebex Calling. In molti casi, il certificato gateway esistente può essere mantenuto e solo la catena intermedia può essere sostituita. Per le implementazioni Sectigo interessate, ciò può comportare la sostituzione del certificato UserTrust con firma incrociata AAA con un'alternativa appropriata.
Installi la catena di certificati aggiornata sul suo gateway locale e ripeta il controllo del certificato.
Confermi che il trunk sia visualizzato Online in Control Hub e testa le chiamate in entrata e in uscita.

Verifichi la connettività del gateway locale.

Ripetere l'ispezione OpenSSL e confermare che la catena di sostituzione non dipenda più dalle autorità diffidenti.
In Control Hub, confermi che il baule sia visualizzato Online.
Testa le chiamate PSTN in entrata e in uscita e le integrazioni per le chiamate locali che utilizzano il trunk.
Ripetere la convalida per i gateway di backup e ridondanti.

Cosa fare dopo

Se la catena appare corretta ma il baule rimane Offline, Danneggiato o Sconosciuto:

Verifichi che il certificato sia valido e installato correttamente.
Controlli la catena di CA intermedia completa e l'identità del certificato prevista.
Esamini la connettività TLS e gli errori di convalida dei certificati sul gateway.
Contatti il suo fornitore di certificati, il partner Cisco o Cisco Technical Assistance Center (TAC) se il problema persiste. Quando contattaCisco Technical Assistance Center, fornisca l'ID della sua organizzazione, i dettagli del trunk interessato, il nome host del gateway, le informazioni sulla catena di certificati e i messaggi di errore TLS pertinenti.

Informazioni correlate:

Cisco AI Assistant

Grazie per il feedback.

Small Business

Aziendale

Dispositivi

Soluzioni per

Risorse

Società