Una explicación de una vulnerabilidad en la interfaz de aprovisionamiento de Cisco BroadWorks (una plataforma de servicios de llamadas que usan operadores de telecomunicaciones y proveedores de telefonía en la nube) que permite leer información de configuración. Cubre el ámbito y las correcciones desde el lado de la defensa y no incluye cómo atacar.
- CVE
- CVE-2026-20320 (aviso de Cisco cisco-sa-bworks-xxe-uwUd7CEt)
- Gravedad
- CVSS v3.1 7.5 (alta; vector AV:N/AC:L/PR:N/UI:N, solo confidencialidad; asignada por Cisco)
- Tipo
- Restricción incorrecta de la referencia a entidades externas XML (CWE-611). La información de configuración puede leerse sin autenticación
- Afectado
- BroadWorks Application Delivery Platform / Application Server / Profile Server / Xtended Services Platform, anteriores a RI.2026.07
- Corrección
- RI.2026.07. Sin solución provisional
- Publicado
- Aviso de Cisco: 19 de agosto de 2026 (solo la primera versión)
- Explotación
- Añadido a CISA KEV el 10 de noviembre de 2026 (plazo: 24 de noviembre). El aviso de Cisco dice que no tenía constancia de un uso malicioso
Qué tipo de vulnerabilidad es
El aviso de Cisco dice que el analizador XML de OCI permite por defecto la resolución de entidades externas, de modo que un atacante remoto no autenticado que envíe XML manipulado al servicio OCI-P puede leer archivos sensibles del sistema de archivos con los privilegios del usuario de BroadWorks. En el vector CVSS solo la confidencialidad es alta; la integridad y la disponibilidad no se ven afectadas. El aviso no describe el formato de los datos y este sitio tampoco.
Ámbito
| Producto | Versiones afectadas | Corrección |
|---|---|---|
| BroadWorks Application Delivery Platform | Anteriores a RI.2026.07 (componentes Open Client Server [OCS] y OCIOverSoap) | RI.2026.07 |
| BroadWorks Application Server | Anteriores a RI.2026.07 | RI.2026.07 |
| BroadWorks Profile Server | Anteriores a RI.2026.07 | RI.2026.07 |
| BroadWorks Xtended Services Platform | Anteriores a RI.2026.07 | RI.2026.07 |
- Los cuatro están afectados con independencia de la configuración del dispositivo. Los productos que no figuran no están confirmados como afectados.
- No hay solución provisional. Cisco aconseja actualizar para corregirlo por completo.
- Si usa BroadWorks a través de un revendedor o de un servicio gestionado, decida según las mismas versiones y consulte la guía de su proveedor.
Qué hacer hoy (para operadores)
Haga un inventario de los componentes y versiones de BroadWorks
Cuente Application Delivery Platform, Application Server, Profile Server y Xtended Services Platform de cada entorno de producción, de pruebas y de recuperación ante desastres, y compruebe si cada uno es anterior a RI.2026.07 (lista de comprobación del inventario de activos).
Actualice a RI.2026.07
Siga el procedimiento de Cisco. El plazo de KEV es el 24 de noviembre. En los entornos que no pueden detenerse, planifique una actualización progresiva, un lado de cada par redundante cada vez, contando hacia atrás desde la fecha límite.
Limite quién puede llegar a OCI-P hasta que actualice
Cisco no da ninguna solución provisional. Como añadido propio de este sitio, restrinja los orígenes que pueden llegar al servicio OCI-P a los sistemas y redes de operaciones necesarios para el aprovisionamiento. Confirme que no está abierto a internet ni a redes de socios no fiables. Es una medida provisional para reducir la exposición, no un sustituto de la actualización.
Revise las credenciales en los archivos de configuración
Lo que puede leerse es todo lo que puede leer el usuario de BroadWorks. Si la configuración contiene credenciales de bases de datos, de integración o de administración, dé por hecho que pueden haberse leído y considere rotarlas. Compruebe también en los registros si hay accesos inesperados a OCI-P (guía de respuesta a vulnerabilidades).
Estado de la explotación
- CISA lo añadió a KEV el 10 de noviembre de 2026 con un plazo del 24 de noviembre (versión de KEV 2026.11.10). Este sitio toma la inclusión en KEV como prueba de explotación.
- El aviso de Cisco sigue en su primera versión del 19 de agosto (sin revisiones) y dice que Cisco no tenía constancia de anuncios públicos ni de uso malicioso. Las fuentes difieren sobre la explotación.
- En KEV, el uso en ransomware es Desconocido y el triaje forense es No. Esta inclusión no exige una comprobación de compromiso.
- El registro CVE incluye la valoración de CISA (explotación activa, automatizable, impacto técnico parcial).
- El estado en NVD es Analyzed.
- Existen el registro CVE y un análisis de terceros al que remite NVD, pero este sitio no ha corroborado su contenido y no describe los detalles.
La visión de este sitio: una puntuación moderada cambia de prioridad cuando lleva un plazo
Con un CVSS de 7.5 y solo información de configuración expuesta, es tentador tratarlo como no urgente. Pero una inclusión en KEV significa que la explotación es real, y debe pesar más que el número del CVSS. Para una corrección que lleva tres meses pública, cuente hacia atrás desde la fecha límite (24 de noviembre) y haga el plan de actualización esta semana (priorizar con CVSS, EPSS y KEV).
Fuentes
- Cisco — Cisco BroadWorks Out-of-Band Blind XML External Entity Injection Vulnerability (publicado el 19 de agosto de 2026, solo la primera versión; productos afectados, corrección, sin solución provisional, CVSS 7.5)
- CVE.org — CVE-2026-20320 (incluye las adiciones de CISA)
- NVD — CVE-2026-20320 (Analyzed; CWE-611)
- CISA KEV — Known Exploited Vulnerabilities Catalog (añadido el 10 de noviembre, plazo el 24 de noviembre)
Última verificación: 11 de noviembre de 2026.
Lee a continuación
- Práctica: Guía de respuesta a vulnerabilidades / Lista de comprobación del inventario de activos
- Decisión: Priorizar con CVSS, EPSS y KEV
- Glosario: Qué es CVSS