La Cybersecurity and Infrastructure Security Agency (CISA) statunitense ha aggiunto le vulnerabilità di Cisco BroadWorks e di Openwave Messaging Webtop Media Transcoder al proprio catalogo Known Exploited Vulnerabilities (KEV) il 10 novembre 2026, citando prove di sfruttamento attivo. Nell'avviso dell'agenzia si sollecita con urgenza l'installazione delle correzioni disponibili: la falla di BroadWorks può esporre file sensibili senza richiedere l'accesso, mentre quella di Openwave permette a un utente autenticato di elaborare tipi di documento al di fuori del flusso di lavoro previsto.
Le organizzazioni che utilizzano BroadWorks Application Delivery Platform, Application Server, Profile Server o Xtended Services Platform dovrebbero verificare le proprie versioni. Cisco afferma che questi prodotti sono interessati quando eseguono software vulnerabile, indipendentemente dalla configurazione del dispositivo. Anche gli amministratori di Openwave Webtop Media Transcoder devono verificare lo stato delle patch: secondo The Hacker News, la vulnerabilità è stata corretta nell'ottobre 2026.
BroadWorks espone file tramite XML appositamente costruiti
La vulnerabilità di BroadWorks, CVE-2026-20320, ha un punteggio di gravità CVSS riportato pari a 7,5. Interessa il parser XML dell'Open Client Interface (OCI), il componente che interpreta i messaggi XML strutturati.
Nel proprio avviso di sicurezza, Cisco spiega che il parser consente, per impostazione predefinita, la risoluzione di entità esterne. Questa funzione permette a un messaggio XML di fare riferimento a risorse esterne al messaggio stesso. Un attaccante remoto non autenticato può inviare un messaggio XML appositamente costruito al servizio Open Client Interface–Provisioning (OCI-P) e potenzialmente leggere file sensibili con i privilegi dell'utente Cisco BroadWorks. Le informazioni di configurazione sensibili sono un esempio di ciò che potrebbe essere esposto.
Cisco ha pubblicato l'avviso per la prima volta il 19 agosto 2026 e ha attribuito la segnalazione della vulnerabilità a Sandesh M Gawai. Nel suo avviso, l'azienda afferma che il proprio Product Security Incident Response Team non era a conoscenza di annunci pubblici o di utilizzi malevoli, mentre il successivo inserimento nel catalogo da parte della CISA cita prove di sfruttamento attivo.
La falla Openwave richiede un utente autenticato
La vulnerabilità di Openwave Messaging Webtop Media Transcoder, CVE-2026-111793, ha un punteggio CVSS riportato pari a 4,3. The Hacker News riferisce che un utente autenticato che aggira l'esperienza Webmail può far elaborare al transcoder tipi di documento non previsti e farli convertire. La falla è classificata come trasferimento di risorse non corretto tra sfere, cioè una risorsa attraversa un confine in modo improprio.
Il rapporto precisa che né le modalità di attacco reali di nessuna delle due vulnerabilità sono state descritte pubblicamente, né sono state attribuite a un attore di minaccia o a un gruppo specifico.
Le due falle facevano parte di sei inserimenti nell'avviso della CISA del 10 novembre. Le altre erano CVE-2026-111560, una vulnerabilità di iniezione di comandi del sistema operativo in diversi prodotti Barracuda Networks; CVE-2026-116606, un bypass dell'autenticazione tramite percorso o canale alternativo in Barracuda Email Security Gateway; CVE-2026-124194, una falla di Microsoft Outlook che coinvolge un'azione potenzialmente non sicura senza interazione dell'utente; e CVE-2026-125350, una falla use-after-free di Google Chromium che riguarda la memoria dopo che è stata rilasciata.
Gli inserimenti seguono la comunicazione di Cisco, avvenuta alla fine del mese scorso, di sfruttamento attivo che interessa Catalyst SD-WAN, CVE-2026-20127, e il software Secure Firewall ASA e FTD, CVE-2026-76418, come riportato da The Hacker News.
Installare le correzioni per i prodotti interessati
Cisco indica RI.2026.07 come prima versione corretta per BroadWorks Application Delivery Platform, Application Server, Profile Server e Xtended Services Platform, mentre le versioni precedenti risultano vulnerabili. La voce relativa ad Application Delivery Platform cita in modo specifico Open Client Server (OCS) e OCIOverSoap. Cisco afferma che non esistono workaround e raccomanda con forza di passare alla versione corretta appropriata.
I clienti che non riescono a ottenere il software corretto tramite i normali canali di acquisto o di assistenza possono contattare il Technical Assistance Center di Cisco, fornendo il numero di serie del prodotto e l'URL dell'avviso. Cisco consiglia inoltre di verificare la capacità hardware e il supporto continuo alla configurazione prima dell'aggiornamento.
Secondo The Hacker News, per le agenzie federali civili del ramo esecutivo statunitense (U.S. Federal Civilian Executive Branch) la scadenza per le patch è fissata al 24 novembre 2026. Tale data vale solo per queste agenzie. La CISA afferma che la Binding Operational Directive 26-04 stabilisce per di esse requisiti di rimedio basati sul rischio, incluse le aspettative di verifica di un'eventuale compromissione del sistema prima dell'applicazione della patch. La CISA invita tutte le organizzazioni a dare priorità alla risoluzione delle vulnerabilità presenti nel catalogo KEV.
