CISA: у атаках експлуатують уразливість високої важкості Cisco BroadWorks
CISA попередила про активну експлуатацію CVE-2026-20320 у Cisco BroadWorks і зобов’язала федеральні установи США усунути її до 24 листопада.
CISA додала уразливість Cisco BroadWorks CVE-2026-20320 до каталогу Known Exploited Vulnerabilities, повідомивши про її активне використання у кібератаках; федеральним відомствам США наказано усунути ризик до 24 листопада згідно з BOD 26-04.
Що сталося
Cisco BroadWorks — хмарна UC-платформа для телеком-операторів і MSP, яка лежить в основі брендових хмарних PBX, голосових сервісів та сервісів для співпраці. Уразливість CVE-2026-20320 пов’язана з неправильним обробленням зовнішніх сутностей XML (XXE) в OCI XML Parser, що дозволяє неавторизованим віддаленим зловмисникам читати конфіденційні конфігураційні дані через спеціально сформовані XML-повідомлення.
За даними компанії, проблема існує через увімкнене за замовчуванням розв’язання зовнішніх сутностей у сервісі Open Client Interface – Provisioning (OCI-P). Cisco виправила цю вразливість у серпні.
Як працює уразливість
XXE в OCI-парсері дає змогу без попередньої автентифікації змусити сервер читати довільні файли з файлової системи через підроблений OCI-запит; Malbear Labs вказує на використання порту 2208 для таких запитів. Це відкриває доступ до секретів конфігурації та ключів, що підсилює подальше проникнення.
Цільові атаки та роль ШІ
Хоча CISA не розкрила подробиць експлуатації, Malbear Labs повідомила, що китайськомовний зловмисник використовував зламану модель ШІ DeepSeek Flash для атаки на європейського телеком-провайдера та 13 пов’язаних організацій у його дата-центрах і хмарній інфраструктурі.
Атака була спрямована на BroadWorks XSP (eXtended Services Platform), а BroadWorks Provisioning Server виявився доступним через неавторизований список файлів у каталозі (directory listing). З XSP-хоста зловмисник отримав приватний ключ системної ідентичності, три набори SSL-облікових даних і ще три приватні ключі з підтвердженими відповідними сертифікатами. Ключ системної ідентичності використовується для автентифікації між компонентами BroadWorks, тому її компрометація дозволяє підміняти XSP у взаємодії компонентів.
Що радить CISA
Попри те, що BOD 26-04 адресовано лише федеральним установам, агенція закликає всі організації, включно з приватним сектором, застосовувати ризик-орієнтоване управління вразливостями та пріоритезувати оновлення і усунення вразливостей із KEV Catalog, аби знизити ризики від поточних атак.
Контекст
З листопада 2021 року CISA додала до KEV 103 уразливості Cisco, з яких сім уже зловживали угрупованнями, які використовують програми-шифрувальники (ransomware).
