Издание The Hacker News сообщило о добавлении CISA двух уязвимостей — в Cisco BroadWorks и Openwave Messaging Webtop Media Transcoder — в каталог Known Exploited Vulnerabilities (KEV) со ссылкой на активную эксплуатацию. Однако проверка этого утверждения выявила существенные противоречия: Cisco заявляет, что не располагает сведениями о вредоносном использовании CVE-2026-20320, а подтвердить включение обеих уязвимостей в KEV по доступным материалам CISA не удалось. Тем не менее сама уязвимость в BroadWorks подтверждена вендором, затрагивает четыре продуктовые роли, допускает удалённую эксплуатацию без аутентификации и не имеет обходных путей — что делает оперативный патчинг приоритетной задачей для операторов связи и сервис-провайдеров.
Технические детали CVE-2026-20320
Согласно официальному бюллетеню Cisco, уязвимость CVE-2026-20320 относится к классу CWE-611 (Improper Restriction of XML External Entity Reference) и получила оценку CVSS 7.5 (High). Проблема локализована в парсере XML интерфейса Open Client Interface (OCI) платформы BroadWorks: внешние XML-сущности разрешаются по умолчанию, что позволяет неаутентифицированному удалённому атакующему отправить специально сформированное XML-сообщение и прочитать конфигурационные данные или чувствительные файлы файловой системы с привилегиями пользователя BroadWorks.
Затронуты следующие продукты при использовании уязвимых релизов BroadWorks, вне зависимости от конфигурации устройства:
- BroadWorks Application Delivery Platform
- BroadWorks Application Server
- BroadWorks Profile Server
- BroadWorks Xtended Services Platform
Уязвимы все релизы ранее RI.2026.07. Именно этот релиз является первым исправленным для всех четырёх продуктов. Cisco подчёркивает: обходных путей для устранения уязвимости не существует — единственным решением является обновление программного обеспечения.
Уязвимость в Openwave: неразрешённые противоречия
Вторая уязвимость, упомянутая в исходном материале как CVE-2026-111793 (CVSS 4.3, Medium), связана с Openwave Messaging Webtop Media Transcoder. Однако при проверке обнаружены существенные расхождения. Связанный бюллетень Openwave использует идентификатор CAN-2026-2032674, а не CVE-2026-111793, и не устанавливает соответствия между ними. Кроме того, исходный материал утверждает, что уязвимость исправлена в октябре 2026 года, тогда как бюллетень Openwave указывает версию 1.1.22.0, выпущенную 6 декабря 2021 года, в качестве исправленной. Эти противоречия в идентификации и хронологии не позволяют считать информацию об этой уязвимости подтверждённой.
По существу уязвимость заключается в том, что Webtop Media Transcoder не применяет определённые администратором ограничения типов файлов, позволяя аутентифицированному пользователю обрабатывать и конвертировать непредусмотренные типы документов при обходе интерфейса Webmail. Это существенно отличается от уязвимости в BroadWorks: здесь требуется аутентификация и специфический обход, что значительно сужает поверхность атаки.
Противоречия в статусе эксплуатации
Ключевое утверждение исходного материала — о включении обеих уязвимостей в каталог CISA KEV на основании активной эксплуатации — не удалось подтвердить независимо. Более того, оно прямо противоречит позиции вендора: в бюллетене Cisco PSIRT указано, что команда не осведомлена о публичных сообщениях или вредоносном использовании уязвимости CVE-2026-20320. Ни один из доступных источников не описывает конкретных методов эксплуатации, не называет группировки или кампании, связанные с этими уязвимостями.
Вместе с тем стоит отметить, что продукты Cisco в последние месяцы неоднократно становились объектами активной эксплуатации. Ранее мы писали о DoS-уязвимости в Cisco ASA и FTD (CVE-2026-76418), а также о критической уязвимости в Catalyst SD-WAN (CVE-2026-20127, CVSS 10.0) — обе подтверждены как активно эксплуатируемые. Эти уязвимости упоминаются и в исходном материале как недавние примеры.
Оценка воздействия и приоритизация
Cisco BroadWorks — платформа унифицированных коммуникаций, широко используемая телекоммуникационными операторами и сервис-провайдерами. XXE-уязвимость с возможностью чтения конфигурационных файлов без аутентификации представляет серьёзный риск: утечка конфигурации может раскрыть учётные данные, топологию сети, параметры интеграции со смежными системами и другую информацию, полезную для развития атаки.
С точки зрения приоритизации, CVE-2026-20320 в BroadWorks заслуживает первоочередного внимания по сравнению с уязвимостью в Openwave по нескольким причинам: удалённый доступ без аутентификации, четыре затронутые продуктовые роли, отсутствие обходных путей и более высокая оценка CVSS. Уязвимость в Openwave, напротив, требует аутентификации и специфического обхода интерфейса, а её идентификация и хронология исправления содержат неразрешённые противоречия.
Рекомендации
- Cisco BroadWorks: обновите все экземпляры Application Delivery Platform, Application Server, Profile Server и Xtended Services Platform до релиза RI.2026.07 или новее. Обходных путей нет — патчинг является единственной мерой защиты.
- Openwave Webtop Media Transcoder: согласно бюллетеню Openwave, обновите до последнего поддерживаемого релиза Media Server 2.0. Учитывая противоречия в идентификации уязвимости, свяжитесь с вендором для уточнения применимости конкретного исправления к вашей версии.
- Проведите аудит доступности OCI/OCI-P интерфейсов BroadWorks из внешних сетей. Ограничение сетевого доступа к этим интерфейсам снижает риск эксплуатации до момента обновления.
- Проверьте журналы OCI-P на предмет аномальных XML-запросов, содержащих внешние сущности или обращения к локальным файлам.
Независимо от того, подтвердится ли факт активной эксплуатации CVE-2026-20320, характеристики уязвимости — удалённый доступ без аутентификации, чтение файлов, отсутствие обходных путей — делают обновление до RI.2026.07 первоочередной задачей для всех организаций, эксплуатирующих Cisco BroadWorks. Операторам Openwave рекомендуется уточнить у вендора точный идентификатор и статус исправления, прежде чем полагаться на информацию из вторичных источников.
