Die U.S. Cybersecurity and Infrastructure Security Agency (CISA) hat am 10. November 2026 Schwachstellen in Cisco BroadWorks und Openwave Messaging Webtop Media Transcoder in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) aufgenommen. Grund sind Hinweise auf eine aktive Ausnutzung. In der Warnmeldung der Behörde wird die Installation verfügbarer Korrekturen mit höherer Priorität eingestuft. Die BroadWorks-Lücke kann ohne Anmeldung den Zugriff auf sensible Dateien ermöglichen, während die Openwave-Lücke einem authentifizierten Benutzer erlaubt, Dokumenttypen außerhalb des vorgesehenen Arbeitsablaufs zu verarbeiten.
Organisationen, die BroadWorks Application Delivery Platform, Application Server, Profile Server oder Xtended Services Platform betreiben, sollten ihre Versionen überprüfen. Laut Cisco sind diese Produkte betroffen, wenn sie verwundbare Software ausführen, unabhängig von der Gerätekonfiguration. Administratoren von Openwave Webtop Media Transcoder sollten außerdem ihren Patch-Stand prüfen. Laut The Hacker News wurde deren Schwachstelle im Oktober 2026 behoben.
BroadWorks gibt Dateien über präparierte XML-Nachrichten preis
Die BroadWorks-Schwachstelle CVE-2026-20320 hat laut Bericht einen CVSS-Schweregrad von 7,5. Betroffen ist der XML-Parser der Open Client Interface (OCI), also die Komponente, die strukturierte XML-Nachrichten verarbeitet.
Im Sicherheitshinweis erklärt Cisco, dass der Parser standardmäßig die Auflösung externer Entitäten zulässt. Diese Funktion erlaubt es einer XML-Nachricht, auf Ressourcen außerhalb der Nachricht selbst zu verweisen. Ein nicht authentifizierter Angreifer aus der Ferne kann eine präparierte XML-Nachricht an den Dienst Open Client Interface–Provisioning (OCI-P) senden und möglicherweise sensible Dateien mit den Rechten des Cisco-BroadWorks-Benutzers lesen. Sensible Konfigurationsinformationen sind ein Beispiel für Daten, die so offengelegt werden könnten.
Cisco hat den Hinweis erstmals am 19. August 2026 veröffentlicht und Sandesh M Gawai als Melder der Schwachstelle genannt. Laut dem Hinweis war das Product Security Incident Response Team (PSIRT) des Unternehmens weder über öffentliche Ankündigungen noch über missbräuchliche Nutzung informiert. Die spätere Aufnahme in den CISA-Katalog stützt sich dagegen auf Hinweise auf aktive Ausnutzung.
Openwave-Lücke setzt einen authentifizierten Benutzer voraus
Die Openwave-Schwachstelle Messaging Webtop Media Transcoder, CVE-2026-111793, hat laut Bericht einen CVSS-Wert von 4,3. The Hacker News berichtet, dass ein authentifizierter Benutzer, der die Webmail-Oberfläche umgeht, den Transcoder dazu bringen kann, Dokumente zu verarbeiten und in nicht vorgesehene Dokumenttypen umzuwandeln. Die Lücke wird als falsche Ressourcenübertragung zwischen Sphären (Incorrect Resource Transfer Between Spheres) eingestuft, d. h. eine Ressource überschreitet eine Grenze auf unzulässige Weise.
Dem Bericht zufolge sind die realen Angriffsmethoden keiner der beiden Schwachstellen öffentlich beschrieben oder einem benannten Bedrohungsakteur bzw. einer Gruppe zugeordnet worden.
Die beiden Schwachstellen gehörten zu sechs Ergänzungen in der CISA-Warnmeldung vom 10. November. Die übrigen waren CVE-2026-111560, eine Command-Injection-Schwachstelle im Betriebssystem in mehreren Produkten von Barracuda Networks; CVE-2026-116606, eine Umgehung der Authentifizierung über einen alternativen Pfad oder Kanal im Barracuda Email Security Gateway; CVE-2026-124194, eine Microsoft-Outlook-Lücke, bei der eine potenziell unsichere Aktion ohne Benutzerinteraktion ausgeführt werden kann; und CVE-2026-125350, eine Use-after-free-Lücke in Google Chromium, bei der auf Speicher zugegriffen wird, nachdem dieser freigegeben wurde.
Die Ergänzungen folgen auf Ciscos Meldung Ende letzten Monats über aktive Ausnutzung bei Catalyst SD-WAN (CVE-2026-20127) sowie bei den Secure-Firewall-ASA- und FTD-Softwareversionen (CVE-2026-76418), wie The Hacker News berichtete.
Korrekturen für die betroffenen Produkte installieren
Cisco nennt RI.2026.07 als erste korrigierte Version für BroadWorks Application Delivery Platform, Application Server, Profile Server und Xtended Services Platform. Frühere Versionen werden als verwundbar aufgeführt. Der Eintrag zur Application Delivery Platform nennt ausdrücklich Open Client Server (OCS) und OCIOverSoap. Laut Cisco gibt es keine Workarounds. Das Unternehmen empfiehlt dringend, auf die passende korrigierte Version zu aktualisieren.
Kunden, die die korrigierte Software nicht über ihren üblichen Einkaufs- oder Supportkanal beziehen können, können sich mit der Seriennummer des Produkts und der URL des Hinweises an das Technical Assistance Center von Cisco wenden. Cisco rät außerdem, vor dem Update die Hardwarekapazität und die weitere Konfigurationsunterstützung zu prüfen.
The Hacker News nennt für Bundesbehörden der USA (U.S. Federal Civilian Executive Branch) den Patch-Termin 24. November 2026. Dieser Termin gilt nur für diese Behörden. Die CISA erklärt, dass die Binding Operational Directive 26-04 risikobasierte Vorgaben zur Behebung für sie festlegt, unter anderem die Erwartung, vor dem Patchen zu prüfen, ob ein System kompromittiert wurde. Die CISA empfiehlt allen Organisationen, die Behebung von Schwachstellen im KEV-Katalog vorrangig anzugehen.
