El medio The Hacker News informó de que CISA añadió dos vulnerabilidades — en Cisco BroadWorks y Openwave Messaging Webtop Media Transcoder — al catálogo Known Exploited Vulnerabilities (KEV), remitiéndose a una explotación activa. Sin embargo, la comprobación de esta afirmación reveló contradicciones significativas: Cisco declara que no dispone de información sobre el uso malicioso de CVE-2026-20320, y no fue posible confirmar la inclusión de ambas vulnerabilidades en KEV basándose en los materiales disponibles de CISA. No obstante, la propia vulnerabilidad en BroadWorks está confirmada por el proveedor, afecta a cuatro roles de producto, permite la explotación remota sin autenticación y no tiene soluciones temporales, lo que convierte el parcheo rápido en una tarea prioritaria para los operadores de telecomunicaciones y proveedores de servicios.
Detalles técnicos de CVE-2026-20320
Según el aviso de seguridad oficial de Cisco, la vulnerabilidad CVE-2026-20320 pertenece a la clase CWE-611 (Improper Restriction of XML External Entity Reference) y tiene una puntuación CVSS 7.5 (High). El problema se localiza en el analizador XML de la interfaz Open Client Interface (OCI) de la plataforma BroadWorks: las entidades XML externas se permiten por defecto, lo que permite a un atacante remoto no autenticado enviar un mensaje XML especialmente diseñado y leer datos de configuración o archivos sensibles del sistema de archivos con los privilegios del usuario BroadWorks.
Se ven afectados los siguientes productos cuando se utilizan versiones vulnerables de BroadWorks, independientemente de la configuración del dispositivo:
- BroadWorks Application Delivery Platform
- BroadWorks Application Server
- BroadWorks Profile Server
- BroadWorks Xtended Services Platform
Son vulnerables todas las versiones anteriores a RI.2026.07. Esta versión es la primera corregida para los cuatro productos. Cisco subraya que no existen soluciones temporales para eliminar la vulnerabilidad: la única solución es actualizar el software.
Vulnerabilidad en Openwave: contradicciones sin resolver
La segunda vulnerabilidad mencionada en el material original como CVE-2026-111793 (CVSS 4.3, Medium) está relacionada con Openwave Messaging Webtop Media Transcoder. Sin embargo, durante la verificación se detectaron discrepancias significativas. El aviso de seguridad correspondiente de Openwave utiliza el identificador CAN-2026-2032674, y no CVE-2026-111793, y no establece una correspondencia entre ambos. Además, el material original afirma que la vulnerabilidad se corrigió en octubre de 2026, mientras que el aviso de Openwave señala la versión 1.1.22.0, publicada el 6 de diciembre de 2021, como versión corregida. Estas contradicciones en la identificación y la cronología no permiten considerar confirmada la información sobre esta vulnerabilidad.
En esencia, la vulnerabilidad radica en que Webtop Media Transcoder no aplica determinadas restricciones de tipos de archivos definidas por el administrador, lo que permite a un usuario autenticado procesar y convertir tipos de documentos no previstos, eludiendo la interfaz de Webmail. Esto difiere sustancialmente de la vulnerabilidad en BroadWorks: aquí se requiere autenticación y un bypass específico, lo que reduce considerablemente la superficie de ataque.
Contradicciones en el estado de explotación
La afirmación clave del material original — sobre la inclusión de ambas vulnerabilidades en el catálogo CISA KEV sobre la base de una explotación activa — no ha podido confirmarse de forma independiente. Es más, contradice directamente la posición del proveedor: en el aviso Cisco PSIRT se indica que el equipo no tiene conocimiento de informes públicos ni de uso malicioso de la vulnerabilidad CVE-2026-20320. Ninguna de las fuentes disponibles describe métodos concretos de explotación ni menciona grupos o campañas asociados a estas vulnerabilidades.
Al mismo tiempo, cabe señalar que los productos de Cisco en los últimos meses han sido objeto de explotación activa en repetidas ocasiones. Anteriormente escribimos sobre la vulnerabilidad de DoS en Cisco ASA y FTD (CVE-2026-76418), así como sobre la vulnerabilidad crítica en Catalyst SD-WAN (CVE-2026-20127, CVSS 10.0), ambas confirmadas como explotadas activamente. Estas vulnerabilidades también se mencionan en el material original como ejemplos recientes.
Evaluación del impacto y priorización
Cisco BroadWorks es una plataforma de comunicaciones unificadas ampliamente utilizada por operadores de telecomunicaciones y proveedores de servicios. Una vulnerabilidad XXE con capacidad de lectura de archivos de configuración sin autenticación representa un riesgo grave: la filtración de la configuración puede revelar credenciales, la topología de la red, parámetros de integración con sistemas adyacentes y otra información útil para el desarrollo de un ataque.
Desde el punto de vista de la priorización, CVE-2026-20320 en BroadWorks merece atención prioritaria en comparación con la vulnerabilidad en Openwave por varios motivos: acceso remoto sin autenticación, cuatro roles de producto afectados, ausencia de soluciones temporales y una puntuación CVSS más alta. La vulnerabilidad en Openwave, por el contrario, requiere autenticación y un bypass específico de la interfaz, y su identificación y cronología de corrección contienen contradicciones sin resolver.
Recomendaciones
- Cisco BroadWorks: actualice todas las instancias de Application Delivery Platform, Application Server, Profile Server y Xtended Services Platform a la versión RI.2026.07 o posterior. No hay soluciones temporales: el parcheo es la única medida de protección.
- Openwave Webtop Media Transcoder: según el aviso de Openwave, actualice a la última versión soportada de Media Server 2.0. Dadas las contradicciones en la identificación de la vulnerabilidad, póngase en contacto con el proveedor para aclarar la aplicabilidad de la corrección concreta a su versión.
- Realice una auditoría de la accesibilidad de las interfaces OCI/OCI-P de BroadWorks desde redes externas. Restringir el acceso de red a estas interfaces reduce el riesgo de explotación hasta que se lleve a cabo la actualización.
- Revise los registros de OCI-P en busca de solicitudes XML anómalas que contengan entidades externas o referencias a archivos locales.
Independientemente de que llegue a confirmarse o no la explotación activa de CVE-2026-20320, las características de la vulnerabilidad — acceso remoto sin autenticación, lectura de archivos, ausencia de soluciones temporales — convierten la actualización a RI.2026.07 en una tarea prioritaria para todas las organizaciones que utilizan Cisco BroadWorks. Se recomienda a los operadores de Openwave aclarar con el proveedor el identificador exacto y el estado de corrección antes de confiar en la información procedente de fuentes secundarias.
