CVE-2026-20320: XXE en Cisco BroadWorks explotada activamente

CVE-2026-20320: CISA confirma la explotación activa de una vulnerabilidad XXE en Cisco BroadWorks

La CISA añadió el 10 de noviembre de 2026 la vulnerabilidad CVE-2026-20320 al catálogo de Vulnerabilidades Explotadas Conocidas (KEV). Afecta a Cisco BroadWorks, plataforma de comunicaciones unificadas y telefonía en la nube muy usada por operadores y grandes empresas. Se trata de una referencia a entidades externas XML (XXE) mal restringida, clasificada como CWE-611, con una puntuación CVSS 7.5 (ALTA). Su inclusión en KEV implica que existe evidencia de explotación en entornos reales.

Análisis Técnico

Según CISA, el producto no restringe adecuadamente la resolución de entidades externas XML, por lo que un atacante remoto y sin autenticación puede leer información sensible de configuración del sistema afectado.

Vector de Ataque

Un ataque XXE consiste en enviar un documento XML que declara una entidad externa (<!DOCTYPE> con <!ENTITY ... SYSTEM ...>) apuntando a un recurso local o de red. Si el analizador XML la resuelve, el contenido del recurso se incorpora a la respuesta o se filtra por canales secundarios. Las características que se desprenden de la descripción oficial:

Acceso: red, sin autenticación previa.
Impacto principal: confidencialidad (lectura de archivos y configuración).
Debilidad: CWE-611, restricción incorrecta de referencias a entidades externas XML.

Los detalles de versiones, interfaces afectadas y parches están en el aviso del fabricante, enlazado en las referencias.

Impacto Operacional y de Seguridad

Aunque el CVSS es 7.5 porque la vulnerabilidad no permite por sí sola ejecutar código, la configuración de una plataforma de telefonía puede contener credenciales, topología interna, parámetros de integración y datos de abonados. Esa información facilita movimiento lateral, fraude telefónico y ataques posteriores contra la organización o sus clientes. CISA indica que el uso en campañas de ransomware es, por ahora, desconocido.

Productos Afectados

Fabricante: Cisco
Producto: BroadWorks
Versiones: consultar la tabla de versiones afectadas y corregidas en el aviso cisco-sa-bworks-xxe-uwUd7CEt.

Recomendaciones y Mitigación

CISA exige aplicar las mitigaciones del fabricante conforme a la directiva BOD 26-04 y a sus requisitos de Forensics Triage. La fecha límite para las agencias FCEB es el 24 de noviembre de 2026; cualquier otra organización debería tomarla como referencia.

Acciones Inmediatas Recomendadas

Aplicar las actualizaciones o mitigaciones indicadas en el aviso de Cisco.
Evaluar la exposición a Internet de cada instancia de BroadWorks y restringir el acceso a las interfaces de administración y servicio.
Revisar registros de acceso en busca de peticiones XML con declaraciones DOCTYPE/ENTITY o lecturas anómalas de archivos.
Si hubo exposición, tratar como comprometidas las credenciales y secretos presentes en la configuración y rotarlos.
Realizar el triaje forense descrito por CISA antes de dar el sistema por limpio.
Si no existen mitigaciones disponibles, discontinuar el uso del producto, como indica CISA.