Uma explicação sobre uma vulnerabilidade na interface de provisionamento do Cisco BroadWorks (uma plataforma de serviços de chamadas usada por operadoras de telecomunicações e provedores de telefonia em nuvem) que permite ler informações de configuração. Cobre o escopo e as correções do ponto de vista da defesa e não inclui como atacar.
- CVE
- CVE-2026-20320 (boletim da Cisco cisco-sa-bworks-xxe-uwUd7CEt)
- Gravidade
- CVSS v3.1 7,5 (alta; vetor AV:N/AC:L/PR:N/UI:N, apenas confidencialidade; atribuída pela Cisco)
- Tipo
- Restrição inadequada de referência a entidades externas XML (CWE-611). As informações de configuração podem ser lidas sem autenticação
- Afetado
- BroadWorks Application Delivery Platform / Application Server / Profile Server / Xtended Services Platform, anteriores à RI.2026.07
- Correção
- RI.2026.07. Sem solução alternativa
- Publicado
- Boletim da Cisco: 19 de agosto de 2026 (somente a primeira versão)
- Exploração
- Incluído no CISA KEV em 10 de novembro de 2026 (prazo: 24 de novembro). O boletim da Cisco diz que ela não tinha conhecimento de uso malicioso
Que tipo de vulnerabilidade é
O boletim da Cisco diz que o analisador XML da OCI permite por padrão a resolução de entidades externas, de modo que um invasor remoto não autenticado que envie XML manipulado ao serviço OCI-P pode ler arquivos sensíveis do sistema de arquivos com os privilégios do usuário do BroadWorks. No vetor CVSS, apenas a confidencialidade é alta; integridade e disponibilidade não são afetadas. O boletim não descreve o formato dos dados e este site também não.
Escopo
| Produto | Versões afetadas | Correção |
|---|---|---|
| BroadWorks Application Delivery Platform | Anteriores à RI.2026.07 (componentes Open Client Server [OCS] e OCIOverSoap) | RI.2026.07 |
| BroadWorks Application Server | Anteriores à RI.2026.07 | RI.2026.07 |
| BroadWorks Profile Server | Anteriores à RI.2026.07 | RI.2026.07 |
| BroadWorks Xtended Services Platform | Anteriores à RI.2026.07 | RI.2026.07 |
- Os quatro são afetados independentemente da configuração do dispositivo. Produtos que não constam não estão confirmados como afetados.
- Não há solução alternativa. A Cisco aconselha atualizar para corrigir por completo.
- Se você usa o BroadWorks por meio de um revendedor ou de um serviço gerenciado, decida pelas mesmas versões e verifique a orientação do seu provedor.
O que fazer hoje (para operadores)
Faça o inventário dos componentes e versões do BroadWorks
Conte o Application Delivery Platform, o Application Server, o Profile Server e o Xtended Services Platform de cada ambiente de produção, teste e recuperação de desastres, e verifique se cada um é anterior à RI.2026.07 (checklist de inventário de ativos).
Atualize para a RI.2026.07
Siga o procedimento da Cisco. O prazo do KEV é 24 de novembro. Para ambientes que não podem ser desligados, planeje uma atualização gradual, um lado de cada par redundante por vez, contando de trás para frente a partir do prazo.
Limite quem pode alcançar o OCI-P até atualizar
A Cisco não dá solução alternativa. Como acréscimo próprio deste site, restrinja as origens que podem alcançar o serviço OCI-P aos sistemas e redes de operações necessários para o provisionamento. Confirme que ele não está aberto à internet nem a redes de parceiros não confiáveis. É uma medida provisória para reduzir a exposição, não um substituto da atualização.
Revise as credenciais nos arquivos de configuração
O que pode ser lido é tudo o que o usuário do BroadWorks consegue ler. Se a configuração contém credenciais de banco de dados, de integração ou de administração, parta do princípio de que podem ter sido lidas e considere trocá-las. Verifique também nos registros se há acessos inesperados ao OCI-P (guia de resposta a vulnerabilidades).
Status da exploração
- A CISA o incluiu no KEV em 10 de novembro de 2026 com prazo de 24 de novembro (versão do KEV 2026.11.10). Este site toma a inclusão no KEV como evidência de exploração.
- O boletim da Cisco continua na primeira versão de 19 de agosto (sem revisões) e diz que a Cisco não tinha conhecimento de anúncios públicos nem de uso malicioso. As fontes divergem sobre a exploração.
- No KEV, o uso em ransomware é Desconhecido e a triagem forense é No. Esta inclusão não exige uma verificação de comprometimento.
- O registro CVE traz a avaliação da CISA (exploração ativa, automatizável, impacto técnico parcial).
- O status no NVD é Analyzed.
- Existem o registro CVE e uma análise de terceiros referenciada pelo NVD, mas este site não corroborou o conteúdo deles e não descreve os detalhes.
A visão deste site: uma pontuação moderada muda de prioridade quando há um prazo
Com CVSS 7,5 e apenas informações de configuração expostas, é tentador tratar como não urgente. Mas uma inclusão no KEV significa que a exploração é real, e isso deve pesar mais do que o número do CVSS. Para uma correção pública há três meses, conte de trás para frente a partir do prazo (24 de novembro) e faça o plano de atualização esta semana (priorizar com CVSS, EPSS e KEV).
Fontes
- Cisco — Cisco BroadWorks Out-of-Band Blind XML External Entity Injection Vulnerability (publicado em 19 de agosto de 2026, somente a primeira versão; produtos afetados, correção, sem solução alternativa, CVSS 7,5)
- CVE.org — CVE-2026-20320 (inclui os acréscimos da CISA)
- NVD — CVE-2026-20320 (Analyzed; CWE-611)
- CISA KEV — Known Exploited Vulnerabilities Catalog (incluído em 10 de novembro, prazo em 24 de novembro)
Última verificação: 11 de novembro de 2026.
Leia a seguir
- Prática: Guia de resposta a vulnerabilidades / Checklist de inventário de ativos
- Decisão: Priorizar com CVSS, EPSS e KEV
- Glossário: O que é CVSS