CISA memperingatkan bahwa celah keamanan Cisco BroadWorks kini telah dimanfaatkan dalam serangan nyata. Kerentanan CVE-2026-20320 memungkinkan penyerang jarak jauh tanpa autentikasi membaca informasi konfigurasi sensitif dari sistem yang belum diperbarui.
Badan keamanan siber Amerika Serikat tersebut memasukkan celah ini ke Known Exploited Vulnerabilities atau KEV pada 10 November 2026. Tenggat penanganan bagi instansi federal sipil AS ditetapkan pada 24 November, sementara organisasi lain didorong memprioritaskan kerentanan yang sudah terbukti dieksploitasi.
Celah parser XML membuka akses ke berkas sensitif
BroadWorks merupakan platform komunikasi terpadu berbasis cloud yang dipakai operator telekomunikasi dan penyedia layanan terkelola untuk menawarkan layanan telepon serta kolaborasi kepada pelanggan bisnis. Karena berada di lapisan infrastruktur layanan, informasi konfigurasi di dalamnya dapat bernilai tinggi bagi penyusup.
Menurut advisori Cisco, kelemahan berada pada parser XML Open Client Interface atau OCI. Resolusi entitas eksternal yang aktif secara bawaan menyebabkan pemrosesan XML tidak dibatasi dengan benar. Pesan XML yang dirancang khusus ke layanan OCI-Provisioning dapat memicu pembacaan berkas dengan hak akses pengguna BroadWorks.
Cisco memberi kerentanan ini tingkat keparahan tinggi dengan skor CVSS 7,5. Produk terdampak meliputi BroadWorks Application Delivery Platform, Application Server, Profile Server, dan Xtended Services Platform yang menjalankan rilis rentan, terlepas dari konfigurasi perangkatnya.
Patch tersedia, tidak ada workaround dari Cisco
Advisori yang pertama diterbitkan 19 Agustus 2026 mencantumkan RI.2026.07 sebagai rilis pertama yang memuat perbaikan untuk keluarga produk tersebut. Pada Application Delivery Platform, keterangan perbaikan mencakup Open Client Server dan OCIOverSoap.
Cisco menyatakan tidak ada workaround yang mengatasi kerentanan ini. Pelanggan perlu beralih ke rilis yang sudah diperbaiki sesuai produk dan lingkungan mereka. Administrator juga perlu memastikan kecocokan konfigurasi serta dukungan perangkat sebelum menjalankan proses upgrade.
Masuknya celah ke KEV mengubah prioritas penanganannya: risiko eksploitasi kini telah dikonfirmasi CISA. Katalog tersebut mencatat penggunaan dalam kampanye ransomware masih berstatus tidak diketahui. Status itu tidak berarti celah belum diserang, melainkan belum ada kepastian mengenai keterlibatan ransomware.
Peneliti melaporkan eksploitasi dengan agen AI
Secara terpisah, Malbear Labs melaporkan kampanye terhadap penyedia telekomunikasi Eropa dan 13 organisasi yang menggunakan infrastrukturnya. Laporan Operation Snowball menyebut operator berbahasa Mandarin menggunakan agen berbasis DeepSeek Flash yang mekanisme pembatasannya telah dimanipulasi.
Peneliti menemukan ruang kerja operasi yang terbuka, termasuk puluhan transkrip sesi dan hasil aktivitas agen. Menurut analisis tersebut, CVE-2026-20320 digunakan terhadap platform BroadWorks XSP untuk mengambil berkas sensitif, termasuk kunci privat identitas sistem dan sejumlah kredensial SSL.
Kunci identitas itu digunakan untuk autentikasi antarkomponen BroadWorks. Malbear Labs menilai penguasaannya dapat memungkinkan penyamaran sebagai XSP dalam komunikasi internal. Peneliti juga menemukan Provisioning Server dengan daftar direktori yang dapat diakses tanpa autentikasi, sebagai paparan terpisah dalam lingkungan yang diperiksa.
Prioritaskan pembaruan pada layanan yang terpapar
CISA belum merinci pelaku atau rangkaian serangan yang mendasari pencantuman celah ini dalam KEV. Temuan mengenai agen AI berasal dari penelitian Malbear Labs dan perlu dibaca dengan atribusi tersebut, bukan sebagai rincian yang diumumkan CISA.
Bagi pengelola BroadWorks, langkah utamanya adalah mengidentifikasi rilis yang masih rentan dan memasang perbaikan vendor. CISA juga meminta pemilik aset mengevaluasi keterpaparan layanan ke internet dalam menentukan penanganan. Batas 24 November merupakan kewajiban instansi federal terkait, bukan tenggat universal bagi seluruh pengguna Cisco.
Sumber: Cisco – Cisco BroadWorks Out-of-Band Blind XML External Entity Injection Vulnerability
