Das Magazin The Hacker News berichtete, dass CISA zwei Schwachstellen – in Cisco BroadWorks und Openwave Messaging Webtop Media Transcoder – wegen aktiver Ausnutzung in den Known Exploited Vulnerabilities (KEV) Catalog aufgenommen habe. Eine Überprüfung dieser Aussage zeigte jedoch erhebliche Widersprüche: Cisco erklärt, dass dem Unternehmen keine Informationen über eine böswillige Ausnutzung von CVE-2026-20320 vorliegen, und anhand der verfügbaren CISA-Unterlagen ließ sich die Aufnahme beider Schwachstellen in den KEV-Katalog nicht bestätigen. Dennoch ist die Schwachstelle in BroadWorks vom Hersteller bestätigt, betrifft vier Produktrollen, erlaubt eine Remote-Ausnutzung ohne Authentifizierung und verfügt über keine Workarounds – was ein zügiges Einspielen von Patches zu einer vorrangigen Aufgabe für Telekommunikationsanbieter und Service-Provider macht.
Technische Details zu CVE-2026-20320
Laut dem offiziellen Sicherheitshinweis von Cisco gehört die Schwachstelle CVE-2026-20320 zur Klasse CWE-611 (Improper Restriction of XML External Entity Reference) und wurde mit CVSS 7.5 (High) bewertet. Das Problem liegt im XML-Parser der Open Client Interface (OCI) Schnittstelle der BroadWorks-Plattform: Externe XML-Entitäten werden standardmäßig zugelassen, was es einem nicht authentifizierten, entfernten Angreifer ermöglicht, eine speziell präparierte XML-Nachricht zu senden und Konfigurationsdaten oder sensible Dateien des Dateisystems mit den Rechten des BroadWorks-Benutzers auszulesen.
Betroffen sind die folgenden Produkte, wenn sie mit verwundbaren BroadWorks-Releases betrieben werden – unabhängig von der Gerätekonfiguration:
- BroadWorks Application Delivery Platform
- BroadWorks Application Server
- BroadWorks Profile Server
- BroadWorks Xtended Services Platform
Verwundbar sind alle Releases vor RI.2026.07. Dieser Release ist der erste, in dem die Schwachstelle für alle vier Produkte behoben ist. Cisco betont ausdrücklich: Es gibt keine Workarounds zur Beseitigung der Schwachstelle – die einzige Lösung besteht in einem Software-Update.
Schwachstelle in Openwave: ungelöste Widersprüche
Die zweite Schwachstelle, die im Ausgangsartikel als CVE-2026-111793 (CVSS 4.3, Medium) erwähnt wird, steht in Zusammenhang mit Openwave Messaging Webtop Media Transcoder. Bei der Überprüfung ergaben sich jedoch erhebliche Unstimmigkeiten. Der zugehörige Openwave-Sicherheitshinweis verwendet den Bezeichner CAN-2026-2032674 und nicht CVE-2026-111793, ohne eine Zuordnung zwischen beiden herzustellen. Außerdem behauptet der Ausgangsartikel, die Schwachstelle sei im Oktober 2026 behoben worden, während der Openwave-Hinweis die Version 1.1.22.0, veröffentlicht am 6. Dezember 2021, als fehlerbereinigt angibt. Diese Widersprüche bei Identifizierung und Chronologie lassen derzeit keine verlässliche Bestätigung der Informationen zu dieser Schwachstelle zu.
Inhaltlich besteht die Schwachstelle darin, dass Webtop Media Transcoder bestimmte vom Administrator gesetzte Beschränkungen für Dateitypen nicht anwendet und dadurch einem authentifizierten Benutzer ermöglicht, nicht vorgesehene Dokumenttypen zu verarbeiten und zu konvertieren, wenn er das Webmail-Interface umgeht. Damit unterscheidet sie sich deutlich von der Schwachstelle in BroadWorks: Hier ist Authentifizierung erforderlich und es ist ein spezieller Umgehungsweg nötig, was die Angriffsfläche deutlich einschränkt.
Widersprüche beim Status der Ausnutzung
Die zentrale Aussage des Ausgangsartikels – dass beide Schwachstellen aufgrund aktiver Ausnutzung in den CISA KEV-Katalog aufgenommen wurden – ließ sich nicht unabhängig verifizieren. Mehr noch, sie steht in direktem Widerspruch zur Position des Herstellers: Im Cisco-PSIRT-Sicherheitshinweis heißt es, das Team sei nicht über öffentliche Meldungen oder böswillige Ausnutzungen der Schwachstelle CVE-2026-20320 informiert. Keiner der verfügbaren Quellen beschreibt konkrete Exploit-Methoden oder nennt Gruppen oder Kampagnen, die mit diesen Schwachstellen in Verbindung stehen.
Gleichzeitig ist zu beachten, dass Produkte von Cisco in den vergangenen Monaten wiederholt Ziel aktiver Ausnutzung waren. Zuvor berichteten wir über eine DoS-Schwachstelle in Cisco ASA und FTD (CVE-2026-76418) sowie über eine kritische Schwachstelle in Catalyst SD-WAN (CVE-2026-20127, CVSS 10.0) – beide sind als aktiv ausgenutzt bestätigt. Diese Schwachstellen werden auch im Ausgangsartikel als aktuelle Beispiele erwähnt.
Auswirkungsbewertung und Priorisierung
Cisco BroadWorks ist eine Plattform für Unified Communications, die von Telekommunikationsanbietern und Service-Providern weit verbreitet eingesetzt wird. Eine XXE-Schwachstelle, die das Auslesen von Konfigurationsdateien ohne Authentifizierung erlaubt, stellt ein erhebliches Risiko dar: Ein Konfigurationsabfluss kann Zugangsdaten, Netzwerktopologie, Integrationsparameter mit angrenzenden Systemen und andere Informationen offenlegen, die für eine Weiterentwicklung des Angriffs nützlich sind.
Aus Priorisierungssicht verdient CVE-2026-20320 in BroadWorks Vorrang gegenüber der Schwachstelle in Openwave, und zwar aus mehreren Gründen: Remote-Zugriff ohne Authentifizierung, vier betroffene Produktrollen, fehlende Workarounds und eine höhere CVSS-Bewertung. Die Schwachstelle in Openwave erfordert hingegen Authentifizierung und einen spezifischen Interface-Bypass; zudem weisen ihre Identifizierung und die Chronologie der Behebung ungelöste Widersprüche auf.
Empfehlungen
- Cisco BroadWorks: Aktualisieren Sie alle Instanzen von Application Delivery Platform, Application Server, Profile Server und Xtended Services Platform auf den Release RI.2026.07 oder neuer. Es gibt keine Workarounds – Patchen ist die einzige Schutzmaßnahme.
- Openwave Webtop Media Transcoder: Aktualisieren Sie laut Openwave-Sicherheitshinweis auf den letzten unterstützten Release von Media Server 2.0. Angesichts der Widersprüche bei der Identifizierung der Schwachstelle sollten Sie den Hersteller kontaktieren, um die Anwendbarkeit des konkreten Fixes auf Ihre Version zu klären.
- Führen Sie ein Audit der Erreichbarkeit der OCI/OCI-P-Schnittstellen von BroadWorks aus externen Netzen durch. Die Einschränkung des Netzwerkzugangs zu diesen Schnittstellen reduziert das Ausnutzungsrisiko bis zur Aktualisierung.
- Überprüfen Sie die OCI-P-Protokolle auf auffällige XML-Anfragen, die externe Entitäten oder Zugriffe auf lokale Dateien enthalten.
Unabhängig davon, ob sich eine aktive Ausnutzung von CVE-2026-20320 bestätigen lässt, machen die Eigenschaften der Schwachstelle – Remote-Zugriff ohne Authentifizierung, Dateilesezugriff, fehlende Workarounds – ein Update auf RI.2026.07 zu einer vorrangigen Aufgabe für alle Organisationen, die Cisco BroadWorks einsetzen. Betreibern von Openwave wird empfohlen, beim Hersteller die genaue Kennung und den Status der Behebung zu klären, bevor sie sich auf Informationen aus Sekundärquellen verlassen.
