La Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA) añadió las vulnerabilidades de Cisco BroadWorks y de Openwave Messaging Webtop Media Transcoder a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV) el 10 de noviembre de 2026, al citar pruebas de explotación activa. La alerta de la agencia subraya la prioridad de instalar las correcciones disponibles: el fallo de BroadWorks puede exponer archivos sensibles sin necesidad de iniciar sesión, mientras que el de Openwave permite a un usuario autenticado procesar tipos de documento fuera del flujo de trabajo previsto.
Las organizaciones que utilizan BroadWorks Application Delivery Platform, Application Server, Profile Server o Xtended Services Platform deben revisar sus versiones. Cisco indica que esos productos se ven afectados cuando ejecutan software vulnerable, independientemente de la configuración del dispositivo. Los administradores de Openwave Webtop Media Transcoder también necesitan revisar el estado de sus parches; The Hacker News informa de que su vulnerabilidad se corrigió en octubre de 2026.
BroadWorks expone archivos mediante XML manipulado
La vulnerabilidad de BroadWorks, CVE-2026-20320, tiene una puntuación de gravedad según el Sistema Común de Puntuación de Vulnerabilidades (CVSS) informada de 7,5. Afecta al analizador XML de la Open Client Interface (OCI), el componente que interpreta los mensajes XML estructurados.
En su aviso de seguridad, Cisco explica que el analizador permite por defecto la resolución de entidades externas. Esa función permite que un mensaje XML haga referencia a recursos ajenos al propio mensaje. Un atacante remoto no autenticado puede enviar un mensaje XML manipulado al servicio Open Client Interface–Provisioning (OCI-P) y, potencialmente, leer archivos sensibles con los privilegios del usuario de Cisco BroadWorks. La información de configuración sensible es un ejemplo de lo que podría quedar expuesto.
Cisco publicó inicialmente el aviso el 19 de agosto de 2026 y atribuyó el hallazgo de la vulnerabilidad a Sandesh M Gawai. En el aviso, la compañía indica que su equipo de respuesta a incidentes de seguridad de productos no tenía conocimiento de anuncios públicos ni de uso malicioso, mientras que la posterior inclusión en el catálogo por parte de CISA cita pruebas de explotación activa.
El fallo de Openwave requiere un usuario autenticado
CVE-2026-111793, la vulnerabilidad de Openwave Messaging Webtop Media Transcoder, tiene una puntuación CVSS informada de 4,3. The Hacker News informa de que un usuario autenticado que evita la experiencia de Webmail puede hacer que el transcodificador procese y convierta tipos de documento no previstos. El fallo se clasifica como una transferencia incorrecta de recursos entre esferas, lo que significa que un recurso cruza un límite de forma indebida.
Según el informe, no se han detallado públicamente los métodos de ataque reales de ninguna de las dos vulnerabilidades, ni se han atribuido a un actor o grupo de amenazas con nombre.
Ambas vulnerabilidades formaban parte de las seis incorporaciones de la alerta de CISA del 10 de noviembre. Las otras eran CVE-2026-111560, una vulnerabilidad de inyección de comandos del sistema operativo en varios productos de Barracuda Networks; CVE-2026-116606, una omisión de autenticación mediante una ruta o canal alternativo en Barracuda Email Security Gateway; CVE-2026-124194, un fallo de Microsoft Outlook que implica una acción potencialmente insegura sin interacción del usuario, y CVE-2026-125350, un fallo de uso tras liberación en Google Chromium que afecta a la memoria después de haber sido liberada.
Las incorporaciones siguen a la divulgación de Cisco, a finales del mes pasado, de la explotación activa que afecta a Catalyst SD-WAN, CVE-2026-20127, y al software de Secure Firewall ASA y FTD, CVE-2026-76418, según informó The Hacker News.
Instalar las correcciones de los productos afectados
Cisco identifica RI.2026.07 como la primera versión corregida de BroadWorks Application Delivery Platform, Application Server, Profile Server y Xtended Services Platform, y enumera las versiones anteriores como vulnerables. La entrada de Application Delivery Platform menciona específicamente Open Client Server (OCS) y OCIOverSoap. Cisco indica que no existen soluciones alternativas y recomienda encarecidamente actualizar a la versión corregida correspondiente.
Los clientes que no puedan obtener el software corregido a través de su canal habitual de compra o soporte pueden ponerse en contacto con el Centro de Asistencia Técnica de Cisco, indicando el número de serie del producto y la URL del aviso. Cisco también aconseja comprobar la capacidad del hardware y el soporte continuo de la configuración antes de actualizar.
The Hacker News informa de una fecha límite de parcheo, el 24 de noviembre de 2026, para las agencias del Poder Ejecutivo Civil Federal de Estados Unidos. Esa fecha es específica para dichas agencias. CISA indica que la Directiva Operativa Vinculante 26-04 establece requisitos de corrección basados en el riesgo para ellas, incluidas las expectativas de comprobar si un sistema ha sido comprometido antes de aplicar el parche. CISA anima a todas las organizaciones a priorizar la corrección de las vulnerabilidades del catálogo KEV.
