L'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté, le 10 novembre 2026, les vulnérabilités de Cisco BroadWorks et d'Openwave Messaging Webtop Media Transcoder à son catalogue des Known Exploited Vulnerabilities (KEV), en citant des preuves d'exploitation active. L'alerte de l'agence rend plus urgente l'installation des correctifs disponibles : la faille BroadWorks peut exposer des fichiers sensibles sans authentification, tandis que la faille Openwave permet à un utilisateur authentifié de traiter des types de documents en dehors du flux de travail prévu.
Les organisations qui exploitent BroadWorks Application Delivery Platform, Application Server, Profile Server ou Xtended Services Platform doivent vérifier leurs versions. Cisco indique que ces produits sont concernés lorsqu'ils exécutent un logiciel vulnérable, quelle que soit la configuration de l'appareil. Les administrateurs d'Openwave Webtop Media Transcoder doivent également vérifier l'état de leurs correctifs : The Hacker News indique que sa vulnérabilité a été corrigée en octobre 2026.
BroadWorks expose des fichiers via des messages XML forgés
La vulnérabilité BroadWorks, CVE-2026-20320, affiche un score de gravité Common Vulnerability Scoring System (CVSS) signalé de 7,5. Elle touche l'analyseur XML de l'Open Client Interface (OCI), le composant qui interprète les messages XML structurés.
Dans son bulletin de sécurité, Cisco explique que l'analyseur autorise par défaut la résolution des entités externes. Cette fonctionnalité permet à un message XML de faire référence à des ressources extérieures à ce message. Un attaquant distant non authentifié peut envoyer un message XML forgé au service Open Client Interface–Provisioning (OCI-P) et lire potentiellement des fichiers sensibles avec les privilèges de l'utilisateur Cisco BroadWorks. Les informations de configuration sensibles en sont un exemple.
Cisco a publié l'avis pour la première fois le 19 août 2026 et a crédité Sandesh M Gawai pour le signalement de la vulnérabilité. Selon l'avis, l'équipe de réponse aux incidents de sécurité des produits (PSIRT) de l'entreprise n'avait connaissance ni d'annonces publiques ni d'une utilisation malveillante, tandis que l'ajout ultérieur au catalogue par la CISA cite des preuves d'exploitation active.
La faille Openwave exige un utilisateur authentifié
La vulnérabilité CVE-2026-111793, affectant Openwave Messaging Webtop Media Transcoder, affiche un score CVSS signalé de 4,3. The Hacker News indique qu'un utilisateur authentifié qui contourne l'interface Webmail peut amener le transcodeur à traiter et convertir des types de documents non prévus. La faille est classée comme un transfert de ressources incorrect entre sphères, ce qui signifie qu'une ressource franchit une frontière de manière inappropriée.
Selon ce rapport, ni les méthodes d'attaque réelles de l'une ni de l'autre vulnérabilité n'ont été décrites publiquement, ni attribuées à un acteur ou à un groupe de menace nommé.
Les deux failles faisaient partie de six ajouts publiés dans l'alerte de la CISA du 10 novembre. Les autres étaient CVE-2026-111560, une injection de commandes du système d'exploitation touchant plusieurs produits Barracuda Networks ; CVE-2026-116606, un contournement d'authentification via un chemin ou un canal alternatif dans Barracuda Email Security Gateway ; CVE-2026-124194, une faille de Microsoft Outlook impliquant une action potentiellement dangereuse sans interaction de l'utilisateur ; et CVE-2026-125350, une faille use-after-free de Google Chromium impliquant une mémoire utilisée après sa libération.
Ces ajouts font suite à la divulgation par Cisco, à la fin du mois dernier, d'une exploitation active affectant Catalyst SD-WAN (CVE-2026-20127) et les logiciels Secure Firewall ASA et FTD (CVE-2026-76418), selon The Hacker News.
Installer les correctifs des produits concernés
Cisco indique que RI.2026.07 est la première version corrigée pour BroadWorks Application Delivery Platform, Application Server, Profile Server et Xtended Services Platform, les versions antérieures étant listées comme vulnérables. La fiche d'Application Delivery Platform cite explicitement Open Client Server (OCS) et OCIOverSoap. Cisco précise qu'il n'existe aucune solution de contournement et recommande vivement de passer à la version corrigée appropriée.
Les clients qui ne peuvent pas obtenir le logiciel corrigé par leur canal habituel d'achat ou de support peuvent contacter le Technical Assistance Center de Cisco en indiquant le numéro de série du produit et l'URL de l'avis. Cisco conseille également de vérifier la capacité matérielle et la prise en charge continue de la configuration avant la mise à niveau.
The Hacker News indique une date limite d'application des correctifs au 24 novembre 2026 pour les agences fédérales civiles du pouvoir exécutif américain. Cette date ne concerne que ces agences. La CISA indique que la directive opérationnelle contraignante 26-04 (Binding Operational Directive 26-04) fixe pour elles des exigences de remédiation fondées sur les risques, notamment des attentes en matière de vérification visant à déterminer si un système a été compromis avant d'appliquer le correctif. La CISA encourage toutes les organisations à prioriser la remédiation des vulnérabilités du catalogue KEV.
