Čo sa stalo
Cisco 19. augusta 2026 zverejnilo bezpečnostné upozornenie na chybu v platforme Cisco BroadWorks, ktorá dostala označenie CVE-2026-20320. BroadWorks je softvér, na ktorom telekomunikační operátori a poskytovatelia služieb prevádzkujú cloudovú telefóniu, virtuálne ústredne a ďalšie komunikačné služby pre svojich zákazníkov.
Chyba je v časti, ktorá spracúva správy vo formáte XML prichádzajúce cez rozhranie Open Client Interface (OCI). Útočník ju môže bez prihlásenia zneužiť cez sieť na čítanie citlivých konfiguračných súborov servera. Cisco vydalo opravenú verziu RI.2026.07 a podľa výrobcu neexistuje žiadne dočasné náhradné riešenie.
V čase vydania upozornenia Cisco o žiadnom zneužití nevedelo. To sa zmenilo 10. novembra 2026, keď americká agentúra CISA zaradila chybu do katalógu aktívne zneužívaných zraniteľností (KEV). Od toho istého dňa ju ako zneužívanú vedie aj európska databáza zraniteľností EUVD agentúry ENISA (EUVD-2026-62586). Podľa The Hacker News zatiaľ nie sú známe podrobnosti o tom, ako útoky prebiehajú, ani kto za nimi stojí.
Prečo je to nebezpečné
Ide o zraniteľnosť typu XXE (XML External Entity, kategória CWE-611). Formát XML umožňuje, aby dokument odkazoval na takzvané externé entity, teda na obsah uložený inde, napríklad v súbore na disku. Predstavte si podateľňu, ktorá dostane list s poznámkou „sem vlož obsah dokumentu zo zásuvky č. 5“, a úradník to bez rozmýšľania urobí. Podľa Cisca mal parser XML v BroadWorks takéto vkladanie predvolene povolené.
Útočník môže poslať špeciálne upravenú XML správu službe OCI-P (Open Client Interface Provisioning). Nepotrebuje na to žiadne prihlasovacie údaje a útok ide cez sieť. Výsledkom je možnosť čítať súbory zo servera s oprávneniami používateľa, pod ktorým BroadWorks beží. Cisco v názve upozornenia hovorí o variante „out-of-band blind“: server dáta nezobrazí priamo v odpovedi, ale dá sa zmanipulovať, aby ich poslal inam.
Chyba sama o sebe neumožňuje meniť dáta ani vyradiť server z prevádzky. Konfiguračné súbory však často obsahujú heslá, kľúče alebo prístupové údaje k ďalším systémom. Ak by sa k nim útočník dostal, mohol by ich použiť na ďalšie kroky v sieti.
Cisco ohodnotilo chybu skóre CVSS 7,5 z 10 podľa verzie CVSS 3.1, čo zodpovedá vysokej závažnosti. CVSS je medzinárodná stupnica, ktorá hodnotí, ako ľahko sa chyba zneužije a aký má dopad. Katalóg CISA KEV je zoznam chýb, pri ktorých má americká agentúra dôkazy o skutočnom zneužívaní. Túto chybu musia federálne úrady v USA opraviť do 24. novembra 2026.
EPSS odhaduje pravdepodobnosť zneužitia chyby v najbližších 30 dňoch. K 10. novembru 2026 bola 0,4 %. Nízke EPSS však v tomto prípade neznamená pokoj, zaradenie do KEV potvrdzuje, že sa chyba už zneužíva.
Koho sa to týka
Podľa Cisca sa chyba týka týchto produktov, ak bežia na verzii BroadWorks staršej ako RI.2026.07, a to bez ohľadu na ich konfiguráciu:
- BroadWorks Application Delivery Platform (konkrétne komponenty Open Client Server a OCIOverSoap)
- BroadWorks Application Server
- BroadWorks Profile Server
- BroadWorks Xtended Services Platform
Cisco uvádza, že ako zraniteľné sú známe len produkty z tohto zoznamu. BroadWorks typicky prevádzkujú telekomunikační operátori, poskytovatelia hostovanej telefónie a cloudových ústrední a veľké organizácie s vlastnou komunikačnou infraštruktúrou.
Väčšina malých a stredných firiem BroadWorks sama neprevádzkuje, ale môže ho nepriamo využívať, ak má cloudovú telefóniu od operátora. V takom prípade aktualizovať nemusíte vy. Opýtajte sa však poskytovateľa, či jeho služba beží na BroadWorks a či už opravu nasadil.
Ako zistiť, či ste zasiahnutí
Na serveroch BroadWorks zistíte nainštalovanú verziu príkazom, ktorý len vypisuje informácie a nič nemení:
bwshowverAk výstup ukazuje verziu staršiu ako RI.2026.07, server je zraniteľný. Ďalej zistite, odkiaľ je služba OCI-P dostupná. Zoznam portov, na ktorých server počúva, vypíše tento príkaz:
ss -tlnpPorovnajte výstup s portom OCI-P vo vašej konfigurácii a na firewalle overte, či je služba dostupná z internetu alebo len z interných systémov.
Ako to opraviť
Jediné riešenie, ktoré Cisco uvádza, je aktualizácia všetkých štyroch dotknutých produktov na verziu RI.2026.07 alebo novšiu. Dočasné náhradné riešenie podľa výrobcu neexistuje. Postupujte takto:
- Spíšte všetky servery BroadWorks a ich aktuálne verzie.
- Ako prvé riešte servery, na ktorých je služba OCI-P dostupná z internetu alebo z partnerských sietí.
- Pred aktualizáciou zálohujte konfiguráciu. Cisco odporúča overiť, či má zariadenie dosť pamäte a či nová verzia podporuje vašu súčasnú konfiguráciu.
- Opravený softvér stiahnite cez Cisco Software Download. Ak nemáte servisnú zmluvu, obráťte sa na Cisco TAC so sériovým číslom produktu a odkazom na upozornenie cisco-sa-bworks-xxe-uwUd7CEt, aktualizácia je v takom prípade bezplatná.
- Aktualizáciu nasaďte podľa dokumentácie Cisco a príkazom
bwshowveroverte novú verziu.
Kým aktualizáciu nenasadíte, obmedzte na firewalle prístup k službe OCI-P len na IP adresy, ktoré ju naozaj potrebujú, a zablokujte zbytočné odchádzajúce spojenia zo serverov BroadWorks. Nejde o odporúčanie Cisca, ale o bežnú dobrú prax. Riziko zníži, aktualizáciu však nenahradí.
CISA stanovila federálnym úradom USA termín do 24. novembra 2026. Keďže sa chyba už zneužíva, je to rozumný termín aj pre ostatné organizácie.
Čo ak už ste mohli byť napadnutí
Cisco, CISA ani The Hacker News zatiaľ nezverejnili konkrétne indikátory napadnutia. Ak bol zraniteľný server dostupný z nedôveryhodných sietí, počítajte s možnosťou, že útočník čítal jeho konfiguračné súbory. Pozrite sa na:
- logy služby OCI-P: požiadavky z neznámych IP adries, nezvyčajné XML správy alebo chybové hlásenia parsera,
- logy firewallu: neočakávané odchádzajúce spojenia alebo DNS dopyty zo serverov BroadWorks na neznáme adresy, pri variante „out-of-band“ by práve tadiaľ mohli dáta odchádzať,
- prihlásenia do administrácie a ďalších systémov z neznámych miest alebo v nezvyčajnom čase,
- nové alebo neznáme administrátorské účty.
Ak nájdete niečo podozrivé alebo bol server dlhšie otvorený do internetu, po aktualizácii zmeňte heslá, kľúče a certifikáty uložené v konfigurácii. CISA pri tejto chybe odkazuje aj na svoje požiadavky na forenznú analýzu. Pri podozrení na únik prizvite špecialistu na riešenie incidentov alebo Cisco TAC a logy dovtedy nemažte.