Co se stalo
Cisco 19. srpna 2026 zveřejnilo bezpečnostní upozornění na chybu v platformě Cisco BroadWorks, která dostala označení CVE-2026-20320. BroadWorks je software, na kterém telekomunikační operátoři a poskytovatelé služeb provozují cloudovou telefonii, virtuální ústředny a další komunikační služby pro své zákazníky.
Chyba se nachází v části, která zpracovává zprávy ve formátu XML přicházející přes rozhraní Open Client Interface (OCI). Útočník ji může bez přihlášení zneužít po síti ke čtení citlivých konfiguračních souborů serveru. Cisco vydalo opravenou verzi RI.2026.07 a podle výrobce žádné dočasné náhradní řešení neexistuje.
V době vydání upozornění Cisco o žádném zneužití nevědělo. To se změnilo 10. listopadu 2026, kdy americká agentura CISA zařadila chybu do katalogu aktivně zneužívaných zranitelností (KEV). Od stejného dne ji jako zneužívanou vede i evropská databáze zranitelností EUVD agentury ENISA (EUVD-2026-62586). Podle The Hacker News zatím nejsou známy podrobnosti o průběhu útoků ani o tom, kdo za nimi stojí.
Proč je to nebezpečné
Jde o zranitelnost typu XXE (XML External Entity, kategorie CWE-611). Formát XML umožňuje, aby dokument odkazoval na takzvané externí entity, tedy na obsah uložený jinde, například v souboru na disku. Představte si podatelnu, která dostane dopis s poznámkou „sem vlož obsah dokumentu ze šuplíku č. 5“, a úředník to bez přemýšlení udělá. Podle Cisca měl parser XML v BroadWorks takové vkládání ve výchozím stavu povolené.
Útočník může poslat speciálně upravenou XML zprávu službě OCI-P (Open Client Interface Provisioning). Nepotřebuje k tomu žádné přihlašovací údaje a útok probíhá po síti. Výsledkem je možnost číst soubory ze serveru s oprávněními uživatele, pod kterým BroadWorks běží. Cisco v názvu upozornění mluví o variantě „out-of-band blind“: server data nezobrazí přímo v odpovědi, ale dá se zmanipulovat, aby je poslal jinam.
Chyba sama o sobě neumožňuje měnit data ani vyřadit server z provozu. Konfigurační soubory ale často obsahují hesla, klíče nebo přístupové údaje k dalším systémům. Pokud by se k nim útočník dostal, mohl by je využít k dalším krokům v síti.
Cisco ohodnotilo chybu skóre CVSS 7,5 z 10 podle verze CVSS 3.1, což odpovídá vysoké závažnosti. CVSS je mezinárodní stupnice, která hodnotí, jak snadno se chyba zneužije a jaký má dopad. Katalog CISA KEV je seznam chyb, u kterých má americká agentura důkazy o skutečném zneužívání. Tuto chybu musí federální úřady v USA opravit do 24. listopadu 2026.
EPSS odhaduje pravděpodobnost zneužití chyby v příštích 30 dnech. K 10. listopadu 2026 činila 0,4 %. Nízké EPSS ale v tomto případě neznamená klid, zařazení do KEV potvrzuje, že se chyba už zneužívá.
Koho se to týká
Podle Cisca se chyba týká těchto produktů, pokud běží na verzi BroadWorks starší než RI.2026.07, a to bez ohledu na jejich konfiguraci:
- BroadWorks Application Delivery Platform (konkrétně komponenty Open Client Server a OCIOverSoap)
- BroadWorks Application Server
- BroadWorks Profile Server
- BroadWorks Xtended Services Platform
Cisco uvádí, že jako zranitelné jsou známy pouze produkty z tohoto seznamu. BroadWorks typicky provozují telekomunikační operátoři, poskytovatelé hostované telefonie a cloudových ústředen a velké organizace s vlastní komunikační infrastrukturou.
Většina malých a středních firem BroadWorks sama neprovozuje, ale může ho nepřímo využívat, pokud má cloudovou telefonii od operátora. V takovém případě aktualizovat nemusíte vy. Zeptejte se ale poskytovatele, zda jeho služba běží na BroadWorks a zda už opravu nasadil.
Jak zjistit, zda jste zasaženi
Na serverech BroadWorks zjistíte nainstalovanou verzi příkazem, který pouze vypisuje informace a nic nemění:
bwshowverPokud výstup ukazuje verzi starší než RI.2026.07, server je zranitelný. Dále zjistěte, odkud je služba OCI-P dostupná. Seznam portů, na kterých server naslouchá, vypíše tento příkaz:
ss -tlnpPorovnejte výstup s portem OCI-P ve vaší konfiguraci a na firewallu ověřte, zda je služba dostupná z internetu, nebo jen z interních systémů.
Jak to opravit
Jediné řešení, které Cisco uvádí, je aktualizace všech čtyř dotčených produktů na verzi RI.2026.07 nebo novější. Dočasné náhradní řešení podle výrobce neexistuje. Postupujte takto:
- Sepište všechny servery BroadWorks a jejich aktuální verze.
- Jako první řešte servery, na kterých je služba OCI-P dostupná z internetu nebo z partnerských sítí.
- Před aktualizací zazálohujte konfiguraci. Cisco doporučuje ověřit, zda má zařízení dostatek paměti a zda nová verze podporuje vaši současnou konfiguraci.
- Opravený software stáhněte přes Cisco Software Download. Pokud nemáte servisní smlouvu, obraťte se na Cisco TAC se sériovým číslem produktu a odkazem na upozornění cisco-sa-bworks-xxe-uwUd7CEt, aktualizace je v takovém případě zdarma.
- Aktualizaci nasaďte podle dokumentace Cisco a příkazem
bwshowverověřte novou verzi.
Dokud aktualizaci nenasadíte, omezte na firewallu přístup ke službě OCI-P jen na IP adresy, které ji opravdu potřebují, a zablokujte zbytečná odchozí spojení ze serverů BroadWorks. Nejde o doporučení Cisca, ale o běžnou dobrou praxi. Riziko sníží, aktualizaci ale nenahradí.
CISA stanovila federálním úřadům USA termín do 24. listopadu 2026. Protože se chyba už zneužívá, je to rozumný termín i pro ostatní organizace.
Co když už jste mohli být napadeni
Cisco, CISA ani The Hacker News zatím nezveřejnily konkrétní indikátory kompromitace. Pokud byl zranitelný server dostupný z nedůvěryhodných sítí, počítejte s možností, že útočník četl jeho konfigurační soubory. Podívejte se na:
- logy služby OCI-P: požadavky z neznámých IP adres, neobvyklé XML zprávy nebo chybová hlášení parseru,
- logy firewallu: neočekávaná odchozí spojení nebo DNS dotazy ze serverů BroadWorks na neznámé adresy, u varianty „out-of-band“ by právě tudy mohla data odcházet,
- přihlášení do administrace a dalších systémů z neznámých míst nebo v neobvyklou dobu,
- nové nebo neznámé administrátorské účty.
Pokud najdete něco podezřelého nebo byl server delší dobu otevřený do internetu, po aktualizaci změňte hesla, klíče a certifikáty uložené v konfiguraci. CISA u této chyby odkazuje i na své požadavky na forenzní analýzu. Při podezření na únik přizvěte specialistu na řešení incidentů nebo Cisco TAC a logy do té doby nemažte.