CISA zaradila zraniteľnosť Cisco BroadWorks do katalógu KEV
CISA zaradila CVE-2026-20320 v Cisco BroadWorks do katalógu Known Exploited Vulnerabilities. Cisco odporúča aktualizáciu na RI.2026.07, keďže workaround neexistuje.
Zraniteľnosť Cisco BroadWorks CVE-2026-20320 zaradila 10. novembra 2026 americká agentúra CISA do katalógu Known Exploited Vulnerabilities (KEV). Zaradenie znamená potvrdené zneužívanie chyby. Cisco pre problém neuvádza náhradné zmiernenie a odporúčaným riešením je aktualizácia na opravené vydanie RI.2026.07 alebo novšie.
Zraniteľnosť Cisco BroadWorks je typu XXE
CVE-2026-20320 sa týka XML parsera rozhrania Open Client Interface v Cisco BroadWorks. Ide o zraniteľnosť typu XML External Entity, označovanú skratkou XXE. Neautentizovaný vzdialený útočník ju môže podľa bezpečnostného upozornenia Cisco zneužiť na čítanie citlivých konfiguračných údajov.
Dopad sa viaže na oprávnenia používateľa BroadWorks. Útočník tak môže vyčítať citlivé súbory a konfiguráciu, ku ktorým má tento používateľ prístup. Cisco chybu hodnotí stupňom High a uvádza skóre CVSS 7,5.
Dotknuté sú vydania pred RI.2026.07
Podľa Cisco sú zasiahnuté vydania BroadWorks pred RI.2026.07. Oprava je dostupná vo vydaní RI.2026.07. Výrobca zároveň uvádza, že pre túto chybu neexistuje workaround, teda alternatívne opatrenie, ktoré by nahradilo aktualizáciu.
Prevádzkovatelia by preto mali identifikovať inštalácie Cisco BroadWorks so starším vydaním a naplánovať prechod na opravenú verziu podľa pokynov výrobcu. CISA pri položke v katalógu KEV rovnako odporúča riadiť sa pokynmi dodávateľa.
KEV zvyšuje prioritu riešenia
Katalóg KEV zhromažďuje zraniteľnosti, pri ktorých CISA eviduje zneužívanie. V prípade CVE-2026-20320 preto nejde len o verejne známu chybu s možným teoretickým dopadom, ale o problém s potvrdeným zneužívaním.
CISA ani Cisco v použitých podkladoch nezverejnili rozsah zneužívania, dotknuté organizácie, identitu útočníka ani technické indikátory kompromitácie. Nie je ani potvrdené prepojenie chyby s ransomvérovými kampaňami.
Ďalšie informácie môžu priniesť prípadné doplnenia od Cisco alebo CISA, najmä údaje o spôsobe zneužitia, indikátoroch kompromitácie či forenzných odporúčaniach. Zatiaľ je konkrétnym krokom pre správcov aktualizácia z vydaní pred RI.2026.07 na opravenú verziu.
Zdroje
- CISA Known Exploited Vulnerabilities Catalog – Potvrdzuje zaradenie CVE-2026-20320 do katalógu KEV 10. novembra 2026 a odporúča postupovať podľa pokynov výrobcu.
- Cisco Security Advisory: Cisco BroadWorks Out-of-Band Blind XML External Entity Injection Vulnerability – Potvrdzuje technický charakter chyby, neautentizované vzdialené zneužitie, hodnotenie CVSS 7.5, absenciu workaroundu a opravu v RI.2026.07.
Overené a aktualizované: 11. 11. 2026 06:28
