Уязвимость Cisco BroadWorks CVE-2026-20320 уже эксплуатируется в реальных атаках, поэтому американское агентство CISA внесло её в каталог Known Exploited Vulnerabilities. Ошибка позволяет удалённому атакующему без учётных данных читать чувствительные конфигурационные данные на серверах платформы — неприятная новость для операторов, MSP и компаний, использующих облачную телефонию на базе BroadWorks.
Уязвимость получила оценку высокой опасности и связана с обработчиком XML в интерфейсе Open Client Interface. О включении CVE-2026-20320 в KEV 11 ноября сообщает BleepingComputer. Федеральным гражданским ведомствам США предписано устранить проблему до 24 ноября; частный сектор формально под это требование не попадает, но CISA отдельно рекомендует поставить исправление в приоритет.
Cisco BroadWorks — программная платформа унифицированных коммуникаций, на которой операторы связи и поставщики управляемых услуг строят брендированные облачные АТС, голосовые сервисы и инструменты совместной работы для бизнеса. Это важная деталь: проблема затрагивает не один корпоративный сервер телефонии, а потенциально инфраструктуру провайдера с множеством клиентов за ней.
Причина дефекта — некорректное ограничение XML External Entity, или XXE. В компоненте OCI XML Parser по умолчанию разрешалось разрешение внешних сущностей XML. Если сервис Open Client Interface — Provisioning доступен для атаки, злоумышленник может отправить специально подготовленное XML-сообщение и заставить сервер прочитать данные, к которым у него не должно быть доступа.
По описанию Cisco, запрос направляется к OCI-P. Проблема была закрыта патчем ещё в августе, однако теперь CISA располагает данными об эксплуатации в атаках. Для защитников это меняет приоритет: речь уже не о теоретической ошибке из бюллетеня производителя, которую можно отложить до ближайшего окна обслуживания, а о подтверждённом рабочем векторе.
Атака на телеком-провайдера и ключи доступа
Дополнительный контекст дала компания Malbear Labs. По её данным, китайскоязычный атакующий использовал CVE-2026-20320 против европейского телеком-провайдера, а целью стали также 13 организаций, работавших через его дата-центры и облачную инфраструктуру. Исследователи связывают операцию с применением взломанной версии ИИ-модели DeepSeek Flash, но CISA публично эти детали не подтверждала.
В описанном Malbear Labs сценарии атакующий обратился к BroadWorks XSP — eXtended Services Platform. Сформированный запрос к порту 2208 позволял XML-парсеру читать произвольные файлы файловой системы без предварительной аутентификации. На том же хосте, как утверждают исследователи, были получены закрытый ключ системной идентификации, три набора SSL-учётных данных и ещё три закрытых ключа, для которых удалось сопоставить сертификаты.
Особенно чувствителен системный ключ идентификации. BroadWorks использует его для аутентификации компонентов между собой; владение таким ключом может позволить атакующему выдавать себя за XSP во внутренних взаимодействиях платформы. Это уже не просто утечка настроек: компрометация ключевого материала способна стать ступенью к более глубокому проникновению в телеком-инфраструктуру.
Malbear Labs также обнаружила, что BroadWorks Provisioning Server, где хранятся абонентские конфигурации, был доступен через неаутентифицированный листинг каталогов. Этот факт относится к конкретной исследованной среде и не означает, что такая ошибка есть в каждой инсталляции BroadWorks. Но вместе с XXE он показывает знакомую проблему: одна уязвимость редко становится катастрофой сама по себе, зато плохо изолированные сервисы и доступные наружу административные интерфейсы быстро превращают её в цепочку компрометации.
Что проверять операторам и MSP
Для команд эксплуатации первоочередная задача — не искать эффектный индикатор компрометации, а быстро установить, где именно развёрнут BroadWorks и какие узлы предоставляют OCI-P. У крупных операторов это не всегда очевидно: сервис может входить в состав старой голосовой платформы, которой занимается отдельная группа, либо обслуживать клиентов под чужим брендом.
Практический минимум выглядит так:
- сверить версии и применить августовские исправления Cisco для затронутых систем;
- проверить, доступен ли OCI-P извне и нужен ли такой доступ для штатной работы;
- проанализировать обращения к порту 2208 и журналы OCI на предмет необычных XML-запросов;
- проверить права доступа к Provisioning Server и отключить неаутентифицированный просмотр каталогов, если он обнаружен;
- при признаках компрометации рассмотреть замену ключей и SSL-учётных данных, а не ограничиваться патчем.
Последний пункт часто недооценивают. Патч останавливает повторную эксплуатацию уязвимости Cisco BroadWorks, но не отзывает ключи, которые могли быть прочитаны до обновления. Если атакующий уже получил системный ключ или сертификаты, инфраструктуру придётся проверять как потенциально скомпрометированную.
CISA отмечает, что подобные ошибки регулярно становятся входной точкой для злоумышленников и несут существенный риск для организаций. С ноября 2021 года агентство добавило в KEV 103 уязвимости Cisco, причём семь из них, по его данным, использовались группировками-вымогателями. Это не доказательство связи CVE-2026-20320 с ransomware, но хороший аргумент не оставлять патч в очереди «на потом».
История с BroadWorks снова делает видимой зависимость бизнеса от телеком-слоя, который обычно работает тихо и потому получает меньше внимания, чем публичные веб-сервисы. Уязвимость Cisco BroadWorks важна не только для сетевых инженеров: для провайдера она может затронуть клиентов, для заказчика — доступность телефонии и доверие к поставщику. Следующий вопрос для отрасли прост: насколько быстро операторы смогут не только обновить платформу, но и доказать, что открытые интерфейсы и выданные ключи не успели стать чужими инструментами.
