Видання The Hacker News повідомило про додавання CISA двох вразливостей — у Cisco BroadWorks та Openwave Messaging Webtop Media Transcoder — до каталогу Known Exploited Vulnerabilities (KEV) з посиланням на активну експлуатацію. Однак перевірка цього твердження виявила суттєві суперечності: Cisco заявляє, що не має відомостей про зловмисне використання CVE-2026-20320, а підтвердити включення обох вразливостей до KEV за доступними матеріалами CISA не вдалося. Водночас сама вразливість у BroadWorks підтверджена вендором, зачіпає чотири продуктові ролі, допускає віддалену експлуатацію без автентифікації та не має обхідних рішень — що робить оперативне встановлення патчів пріоритетним завданням для операторів зв’язку та сервіс-провайдерів.
Технічні деталі CVE-2026-20320
Згідно з офіційним бюлетенем Cisco, вразливість CVE-2026-20320 належить до класу CWE-611 (Improper Restriction of XML External Entity Reference) і отримала оцінку CVSS 7.5 (High). Проблема локалізована в XML-парсері інтерфейсу Open Client Interface (OCI) платформи BroadWorks: зовнішні XML-сутності дозволені за замовчуванням, що дає змогу неавтентифікованому віддаленому зловмиснику надіслати спеціально сформоване XML-повідомлення та прочитати конфігураційні дані або чутливі файли файлової системи з привілеями користувача BroadWorks.
Уражені такі продукти за умови використання вразливих релізів BroadWorks, незалежно від конфігурації пристрою:
- BroadWorks Application Delivery Platform
- BroadWorks Application Server
- BroadWorks Profile Server
- BroadWorks Xtended Services Platform
Уразливі всі релізи раніше RI.2026.07. Саме цей реліз є першим виправленим для всіх чотирьох продуктів. Cisco підкреслює: обхідних рішень для усунення вразливості не існує — єдиним варіантом є оновлення програмного забезпечення.
Вразливість в Openwave: нерозв’язані суперечності
Друга вразливість, згадана в початковому матеріалі як CVE-2026-111793 (CVSS 4.3, Medium), пов’язана з Openwave Messaging Webtop Media Transcoder. Однак під час перевірки виявлено суттєві розбіжності. Пов’язаний бюлетень Openwave використовує ідентифікатор CAN-2026-2032674, а не CVE-2026-111793, і не встановлює відповідності між ними. Крім того, початковий матеріал стверджує, що вразливість виправлено в жовтні 2026 року, тоді як бюлетень Openwave вказує версію 1.1.22.0, випущену 6 грудня 2021 року, як виправлену. Ці суперечності в ідентифікації та хронології не дозволяють вважати інформацію про цю вразливість підтвердженою.
По суті, вразливість полягає в тому, що Webtop Media Transcoder не застосовує визначені адміністратором обмеження типів файлів, дозволяючи автентифікованому користувачу обробляти та конвертувати не передбачені типи документів з обходом інтерфейсу Webmail. Це суттєво відрізняється від вразливості в BroadWorks: тут вимагається автентифікація та специфічний обхід, що значно звужує поверхню атаки.
Суперечності щодо статусу експлуатації
Ключове твердження початкового матеріалу — про включення обох вразливостей до каталогу CISA KEV на підставі активної експлуатації — не вдалося незалежно підтвердити. Ба більше, воно прямо суперечить позиції вендора: в бюлетені Cisco PSIRT зазначено, що команда не поінформована про публічні повідомлення чи зловмисне використання вразливості CVE-2026-20320. Жодне з доступних джерел не описує конкретних методів експлуатації, не називає угруповань чи кампаній, пов’язаних із цими вразливостями.
Водночас варто зазначити, що продукти Cisco останніми місяцями неодноразово ставали об’єктами активної експлуатації. Раніше ми писали про DoS-вразливість у Cisco ASA та FTD (CVE-2026-76418), а також про критичну вразливість у Catalyst SD-WAN (CVE-2026-20127, CVSS 10.0) — обидві підтверджено як активно експлуатовані. Ці вразливості згадуються й у початковому матеріалі як нещодавні приклади.
Оцінка впливу та пріоритизація
Cisco BroadWorks — платформа уніфікованих комунікацій, яку широко використовують телекомунікаційні оператори та сервіс-провайдери. XXE-вразливість із можливістю читання конфігураційних файлів без автентифікації становить серйозний ризик: витік конфігурації може розкрити облікові дані, топологію мережі, параметри інтеграції із суміжними системами та іншу інформацію, корисну для розвитку атаки.
З точки зору пріоритизації, CVE-2026-20320 у BroadWorks заслуговує першочергової уваги порівняно з вразливістю в Openwave з кількох причин: віддалений доступ без автентифікації, чотири задіяні продуктові ролі, відсутність обхідних рішень і вища оцінка CVSS. Вразливість в Openwave, навпаки, вимагає автентифікації та специфічного обходу інтерфейсу, а її ідентифікація та хронологія виправлення містять нерозв’язані суперечності.
Рекомендації
- Cisco BroadWorks: оновіть усі екземпляри Application Delivery Platform, Application Server, Profile Server та Xtended Services Platform до релізу RI.2026.07 або новішого. Обхідних рішень немає — встановлення патча є єдиним заходом захисту.
- Openwave Webtop Media Transcoder: згідно з бюлетенем Openwave, оновіть до останнього підтримуваного релізу Media Server 2.0. З огляду на суперечності в ідентифікації вразливості, зв’яжіться з вендором для уточнення застосовності конкретного виправлення до вашої версії.
- Проведіть аудит доступності OCI/OCI-P інтерфейсів BroadWorks із зовнішніх мереж. Обмеження мережевого доступу до цих інтерфейсів знижує ризик експлуатації до моменту оновлення.
- Перевірте журнали OCI-P на наявність аномальних XML-запитів, що містять зовнішні сутності або звернення до локальних файлів.
Незалежно від того, чи підтвердиться факт активної експлуатації CVE-2026-20320, характеристики вразливості — віддалений доступ без автентифікації, читання файлів, відсутність обхідних рішень — роблять оновлення до RI.2026.07 першочерговим завданням для всіх організацій, що експлуатують Cisco BroadWorks. Операторам Openwave рекомендується уточнити у вендора точний ідентифікатор і статус виправлення, перш ніж покладатися на інформацію з вторинних джерел.
