Åtgärd krävs: Säkerhetsuppdatering för eMUDHRA certifikatutfärdare för Webex Calling Local Gateways

Efter säkerhetsincidenten för eMUdhra-certifikatutfärdare (CA) i oktober 2026 togs förtroendet för fyra rotcertifikatutfärdare Webex Calling bort. Om den certifikatbaserade Local Gateway-trunken är beroende av någon av dessa myndigheter byter du ut det berörda certifikatet eller kedjan för att upprätthålla säker TLS-anslutning. Om en berörd trunk är offline kan inkommande och utgående PSTN-samtal och lokala integrationer som är beroende av den vara otillgängliga.

De berörda rotcertifikaten är:

EmSign Root TLS-certifikatutfärdare - G3
EmSign ECC-rotcertifikatutfärdare - G3
emSign Root CS CA - G3
AAA-certifikattjänster (root för Comodo AAA-tjänster)

AAA Certificate Services äventyrades inte. Det korssignerade dock de berörda eMUdhra-mellanliggande certifikatutfärdarna, vilket gav en alternativ förtroendeväg till de komprometterade certifikaten.

Kunder som använder certifikatbaserade Local Gateway-trunkar (LGW) vars certifikatkedjor är beroende av dessa myndigheter påverkas. Detta inkluderar Sectigo-utfärdade certifikat som kedjas till AAA Certificate Services via UserTrust.

Webex Callingavvisar nu TLS-anslutningar från berörda lokala gateways. Inkommande och utgående PSTN-samtal och lokala samtalsintegrationer som är beroende av dessa gateways kommer att misslyckas.

Kör tillämpligt kommando från en auktoriserad dator som kan nå gatewayens SIP TLS-port. Ersätt lgw.example.com och 5061 med gateway-värdnamnet och TLS-porten. Om extern åtkomst är begränsad kör du kommandot från en auktoriserad intern hanteringsvärd.

Linux eller macOS:

openssl s_client -connect lgw.example.com:5061 -showcerts </dev/null

Kommandotolken i Windows:

openssl s_client -connect lgw.example.com:5061 -showcerts <NUL

Innan du börjar

Du behöver åtkomst till Control Hub med behörighet för att visa organisationens trunkar.
Gateway-värdnamnet och SIP TLS-porten för varje primär-, redundant- och säkerhetskopieringsgateway.
Åtkomst till en auktoriserad dator med OpenSSL som kan nå varje gateway-slutpunkt.

Identifiera dina Local Gateway-trunkar.

Gå till Tjän ster > PSTN & Routing > Gat eway-konfigurationer > Tr unk i Control Hub.
För kunder som använder Cisco-samtalsplanen finns stamlistan även tillgänglig under Service > Samtal > Samtal s dirigering > Tr unk.
Identifiera certifikatbaserade trunkar och registrera den konfigurerade FQDN- eller SRV-adressen, gateway-värdnamnet och SIP TLS-porten. Upprepa för redundanta gateways och backup-gateways.

Kontrollera varje gateways certifikatkedja.

Kör det tillämpliga OpenSSL-kommandot. Utdata visar certifikat som presenteras av den lokala gatewayen. Den verifierar inte oberoende hela kedjan mot Webex Calling förtroendelagret.
Ett TLS-handskakningsfel eller misslyckad OpenSSL-verifiering visar inte att gatewayen påverkas av den här förtroendeuppdateringen.

Granska certifikatämnena och utfärdarna.

I avsnittet Certifikatkedja granskar du varje certifikats ämne (er) och utfärdare (i:). Kontrollera det vanliga namnet (CN) och varje kedjepost för de misstänkta myndigheterna som anges ovan.
Till exempel identifierar en post med ämnet CN=UserTrust RSA Certification Authority och utfärdare CN=AAA Certificate Services ett certifikat som utfärdats av AAA Certificate Services.

Tolka inspektionsresultaten.

Certifikatkedjans resultat	Status
Varje s: eller i: rad visar AAA Certificate Services eller en berörd emSign-myndighet	Påverkad. Åtgärda nu.
Ingen av de berörda myndigheterna visas, och bagageutrymmet är Online i Control Hub	Påverkas inte.
Ingen av de drabbade myndigheterna visas, men bagageutrymmet är offline	Kontakta din partner eller Cisco TAC för att verifiera mot Ciscos lista över berörda kunder.
Anslutningstiden går ut eller ingen certifikatkedja returneras	Oavgörande. Kontrollera nätverksåtkomst till gatewayens TLS-port och försök igen.

En gateway bekräftas som inte påverkad endast när ingen av de listade rötterna visas och stammen är Online i Control Hub.

Ersätt en berörd certifikatkedja.

Kontakta certifikatleverantören för att få ett ersättningscertifikat eller en alternativ kedja som avslutas hos en root som är betrodd avWebex Calling. I många fall kan det befintliga gateway-certifikatet behållas och endast mellankedjan ersättas. För berörda Sectigo-distributioner kan detta innebära att det AAA-korssignerade UserTrust-certifikatet ersätts med ett lämpligt alternativ.
Installera den uppdaterade certifikatkedjan på din lokala gateway och upprepa certifikatkontrollen.
Bekräfta att trunken visar Online i Control Hub och testa inkommande och utgående samtal.

Kontrollera lokal gateway-anslutning.

Upprepa OpenSSL-inspektionen och bekräfta att ersättningskedjan inte längre är beroende av de misstänkta myndigheterna.
Bekräfta att bagageutrymmet visar Online i Control Hub.
Testa inkommande och utgående PSTN-samtal och lokala samtalsintegrationer som använder trunken.
Upprepa validering för säkerhetskopiering och redundanta gateways.

Vad du ska göra härnäst

Om kedjan verkar korrekt men bagageutrymmet förblir Offline, Nedsatt eller Okänt:

Kontrollera att certifikatet är giltigt och korrekt installerat.
Kontrollera hela mellanliggande CA-kedjan och den förväntade certifikatidentiteten.
Granska TLS-anslutnings- och certifikatvalideringsfel på gatewayen.
Kontakta din certifikatleverantör, Cisco-partner eller Cisco Technical Assistance Center (TAC) om problemet kvarstår. När du kontaktar Cisco Technical Assistance Center anger du ditt organisations-ID, berörd trunkinformation, gateway-värdnamn, information om certifikatkedjan och relevanta TLS-felmeddelanden.

Relaterad information:

Cisco AI Assistant

Tack för din feedback.

Små företag

Företag

Enheter

Lösningar för

Resurser

Företag