Wymagane działanie: aktualizacja zabezpieczeń urzędu certyfikatu eMuDHRA dla Webex Calling Local Gateways

W następstwie incydentu bezpieczeństwa urzędu certyfikacji eMudhra (CA) z października 2026 r. Webex Calling usunięto zaufanie do czterech głównych CA. Jeśli system magistrali Local Gateway oparty na certyfikatach zależy od jednego z tych organów, zastąp dany certyfikat lub łańcuch, aby zachować bezpieczną łączność TLS. Jeśli plik magistralny, którego dotyczy problem, jest offline, przychodzące i wychodzące połączenia PSTN i zależne od niego integracje lokalne mogą być niedostępne.

Dotknięte certyfikaty główne to:

EmSign Root TLS CA - G3
EmSign ECC Root CA - G3
EmSign Root CS CA - G3
Usługi certyfikatów AAA (root Comodo AAA Services)

Usługi certyfikatów AAA nie zostały naruszone. Jednakże podpisał krzyżowo zastrzeżenia pośrednie agencje urzędowe eMUDHRA, zapewniając alternatywną ścieżkę zaufania do zagrożonych certyfikatów.

Dotyczy to klientów korzystających z pakietów LGW (Local Gateway) opartych na certyfikatach, których łańcuchy certyfikatów zależą od tych organów. Obejmuje to certyfikaty wydane przez Sectigo, które łączą się z usługami certyfikatów AAA za pośrednictwem UserTrust.

Webex Callingteraz odrzuca połączenia TLS z dotkniętych bram lokalnych. Połączenia przychodzące i wychodzące PSTN oraz integracje połączeń lokalnych, które opierają się na tych bramach, nie powiedzą się.

Z autoryzowanego komputera, który może dotrzeć do portu SIP TLS bramy, uruchom odpowiednie polecenie. Zastąp lgw.example.com i 5061 nazwą hosta bramy i portem TLS. Jeśli dostęp zewnętrzny jest ograniczony, uruchom polecenie z autoryzowanego wewnętrznego hosta zarządzania.

Linux lub macOS:

openssl s_client -connect lgw.example.com:5061 -showcerts </dev/null

Wiersz polecenia systemu Windows:

openssl s_client -connect lgw.example.com:5061 -showcerts <NUL

Zanim zaczniesz

Wymagany jest dostęp do Centrum sterowania z uprawnieniami do wyświetlania ścieżek organizacji.
Nazwa hosta bramy i port SIP TLS dla każdej bramy podstawowej, nadmiarowej i kopii zapasowej.
Dostęp do autoryzowanego komputera z OpenSSL, który może dotrzeć do każdego punktu końcowego bramy.

Zidentyfikuj swoje skrzynki Local Gateway.

W Centrum sterowania przejdź do opcji Usługi > PSTN i routing > Konfiguracje bramy > Trunk.
Dla klientów korzystających z planu połączeń Cisco lista łączności dostępna jest również w serwisie Service > C alling > Routing Call > T runk.
Zidentyfikuj ścieżki oparte na certyfikatach i zapisz skonfigurowany adres FQDN lub SRV, nazwę hosta bramy i port TLS SIP. Powtórz dla bram nadmiarowych i kopii zapasowych.

Sprawdź łańcuch certyfikatów każdej bramy.

Uruchom odpowiednie polecenie OpenSSL. Wyjście wyświetla certyfikaty prezentowane przez lokalną bramę; nie weryfikuje ona niezależnie całego łańcucha w odniesieniu do magaz Webex Calling ynu zaufania.
Błąd uścisku dłoni TLS lub nieudana weryfikacja OpenSSL nie dowodzi, że ta aktualizacja zaufania ma wpływ na bramę.

Przejrzyj podmioty certyfikatów i emitentów.

W sekcji Łańcuch certyfikatów przejrzyj przedmiot (-y:) i emitenta (i:) każdego certyfikatu. Sprawdź nazwę zwyczajową (CN) i każdy wpis łańcuchowy pod kątem wymienionych powyżej nieufnych organów.
Na przykład wpis z tematem CN=UserTrust RSA Certification Authority and emitent CN=AAA Certificate Services identyfikuje certyfikat wydany przez AAA Certificate Services.

Interpretacja wyników inspekcji.

Wynik łańcucha certyfikatów	Status
Dowolna linia s: lub i: pokazuje usługi certyfikatów AAA lub organ eMSign, którego dotyczy problem	Dotknięty. Zrekuluj teraz.
Żaden z dotkniętych organów nie pojawia się, a bagażnik jest online w Control Hub	Nie dotyczy to.
Żaden z dotkniętych organów nie pojawia się, ale bagażnik jest offline	Skontaktuj się z partnerem lub Cisco TAC zweryfikuj listę dotkniętych klientów firmy Cisco.
Wygasł czas połączenia lub brak łańcucha certyfikatów	Niejednoznaczne. Sprawdź dostęp sieci do portu TLS bramy i spróbuj ponownie.

Potwierdza się, że brama nie ma wpływu tylko wtedy, gdy nie pojawia się żaden z wymienionych korzeni, a pień jest online w centrum sterowania.

Zastąp łańcuch certyfikatów, którego dotyczy problem.

Skontaktuj się z dostawcą certyfikatów, aby uzyskać certyfikat zastępczy lub alternatywny łańcuch, który kończy się w zaufanym Webex Calling katalogu głównym. W wielu przypadkach można zachować istniejący certyfikat bramy i wymienić tylko łańcuch pośredni. W przypadku dotkniętych wdrożeń Sectigo może to oznaczać zastąpienie certyfikatu UserTrust podpisanego krzyżowo AAA odpowiednią alternatywą.
Zainstaluj zaktualizowany łańcuch certyfikatów w lokalnej bramie i powtórz sprawdzenie certyfikatu.
Upewnij się, że w centrum sterowania jest wyświetlana online i przetestuj połączenia przychodzące i wychodzące.

Sprawdź łączność Local Gateway.

Powtórz kontrolę OpenSSL i potwierdź, że łańcuch wymiany nie zależy już od nieufnych władz.
W Control Hub potwierdź, że bagażnik jest wyświetlany Online.
Testuj połączenia przychodzące i wychodzące PSTN oraz lokalne integracje połączeń korzystających z tronu.
Powtórz walidację dla kopii zapasowych i nadmiarowych bram.

Co robić dalej

Jeśli łańcuch wydaje się prawidłowy, ale bagażnik pozostaje offline, uszkodzony lub nieznany:

Sprawdź, czy certyfikat jest prawidłowy i zainstalowany.
Sprawdź pełny pośredni łańcuch certyfikacji i oczekiwaną tożsamość certyfikatu.
Przejrzyj błędy łączności TLS i walidacji certyfikatów na bramce.
Skontaktuj się z dostawcą certyfikatów, partnerem Cisco lub Cisco Technical Assistance Center (TAC), jeśli problem nadal występuje. Podczas kontaktu podaj identyfikator organizacjiCisco Technical Assistance Center, dane magistrali, której dotyczy problem, nazwę hosta bramy, informacje o łańcuchu certyfikatów i odpowiednie komunikaty o błędach TLS.

Powiązane informacje:

Cisco AI Assistant

Dziękujemy za opinię.

Mała firma

Przedsiębiorstwo

Urządzenia

Rozwiązania dla

Materiały

Firma