Cisco BroadWorks: chyba XXE ze srpna se zneužívá, útočníci kradou soukromé klíče serverů

Co se stalo

Cisco BroadWorks je platforma, na které telekomunikační operátoři a poskytovatelé služeb provozují hlasové služby pro firmy i domácnosti: cloudové ústředny, hlasovou schránku, konference nebo správu účastníků. Zákazník ji obvykle nevidí, běží v datových centrech operátora.

Cisco 19. srpna 2026 zveřejnil upozornění cisco-sa-bworks-xxe-uwUd7CEt k chybě CVE-2026-20320 v parseru XML rozhraní Open Client Interface (OCI). Útočník bez přihlášení může přes upravenou zprávu XML číst soubory na serveru. Opravu obsahuje vydání RI.2026.07. Cisco tehdy uvedlo, že o zneužití neví.

To se změnilo. Americká agentura CISA zařadila chybu 10. listopadu 2026 do katalogu prokazatelně zneužívaných zranitelností (KEV) a federálním úřadům dala na nápravu čas do 24. listopadu 2026. Ve stejný den databáze NVD k záznamu doplnila odkaz na rozbor Malbear Labs z 8. listopadu 2026. Ten popisuje kampaň „Operation Snowball“ proti evropskému telekomunikačnímu operátorovi a 13 organizacím na jeho infrastruktuře, ve které byla CVE-2026-20320 vstupním bodem do sítě operátora.

Jak vážné to je

Hodnocení 7,5 vypadá mírněji než u chyb, které rovnou spouštějí příkazy. Rozbor Malbear Labs ale ukazuje, proč je čtení souborů na takovém serveru vážné: útočník z něj získal soukromé klíče a přihlašovací údaje a s nimi pokračoval dál do sítě.

Technické podrobnosti

Chyba je v parseru XML rozhraní Open Client Interface (OCI), přes které se BroadWorks spravuje a zřizují se v něm účastníci a služby. Parser má podle Cisco ve výchozím stavu povolené načítání externích entit XML. Útočník proto může poslat službě OCI-P (Open Client Interface – Provisioning) upravenou zprávu XML, ve které entita odkazuje na soubor na serveru. Parser soubor načte a útočník ho získá oklikou mimo běžnou odpověď (Cisco chybu označuje jako „out-of-band blind XXE“). Soubory čte s právy uživatele, pod kterým BroadWorks běží.

U Application Delivery Platform jsou podle Cisco dotčené komponenty Open Client Server (OCS) a OCIOverSoap. Na nastavení zařízení zranitelnost nezávisí.

Podle Malbear Labs útočník v kampani zaútočil na Xtended Services Platform ve verzi Release 23.0.1.1075, dostupnou na portu 2208. Ze serveru podle výzkumníků získal soukromý klíč identity systému, tři sady přihlašovacích údajů SSL a tři další soukromé klíče s odpovídajícími certifikáty. Výzkumníci také uvádějí, že Provisioning Server s konfigurací účastníků měl zapnutý výpis adresářů bez přihlášení; zda ho útočník využil, nepíšou jednoznačně.

Rozbor tvrdí, že většinu dvoutýdenního útoku prováděl AI agent (jazykový model DeepSeek s ochranami odstraněnými dlouhým systémovým promptem), kterému operátor zadával jen krátké pokyny. Agent podle výzkumníků zkoušel desítky dalších známých chyb (mimo jiné Citrix NetScaler CVE-2023-4966, PAN-OS CVE-2024-3400, JBoss/RichFaces CVE-2013-2165) a po zablokování bezpečnostním produktem měnil postup. Výzkumníci materiál získali z volně dostupného adresáře na serveru útočníka. Jejich závěry jsme nezávisle ověřit nemohli; fakta o chybě samotné jsou z upozornění Cisco a NVD.

Návod ke zneužití ani ukázkovou zprávu tu z principu neuvádíme.

Koho se to týká

Podle Cisco jsou zranitelné tyto produkty ve verzích starších než RI.2026.07, bez ohledu na nastavení:

• BroadWorks Application Delivery Platform,
• BroadWorks Application Server,
• BroadWorks Profile Server,
• BroadWorks Xtended Services Platform.

Jednat musí operátoři, poskytovatelé cloudových ústředen a firmy, které BroadWorks provozují samy. Zákazníci operátorů aktualizaci sami neprovádějí; firmy s cloudovou ústřednou se mohou dodavatele zeptat, zda opravu nasadil.

Jak poznat napadení

Cisco indikátory napadení nezveřejnil. Malbear Labs uvádí tyto obranné indikátory ke kampani (zneškodněné, ke kontrole v logech, proxy a DNS):

api.tablacysexplorer[.]com      # doména C2 (Sliver, za Cloudflare)
146.70.53[.]182:2299            # SSH přístup k serveru Sliver
113.23.212[.]15:8000            # server s nástroji útočníka
212.46.38[.]73:56777            # další stroj operátora útoku

Další stopy, které výzkumníci popisují:

• Na BroadWorks: neobvyklé příchozí zprávy XML na rozhraní OCI-P (port 2208) z adres, které rozhraní běžně nepoužívají, a odchozí spojení ze serveru BroadWorks na neznámé adresy (typické pro „blind“ XXE).
• Ve webových logech: požadavky s parametrem ?c= na webshell v PHP, požadavky s -EncodedCommand na servery IIS, požadavky s parametrem rf (RichFaces), hlavičky X-PAN-AUTHCHECK: off a X-FMI-PE-ExtendedPrivilege, požadavky na /getxml?location=/Configuration/ a /sap/public/info.
• Na Windows: více skriptů PowerShellu v C:\Windows\Temp a proces, který každých pár sekund mění soubor zámku; skryté procesy PowerShellu spuštěné přes WMI Win32_Process.Create; služby pojmenované jako součásti Windows Update Orchestrator.
• V síti: webshelly Behinder a suo5 (JSP) v adresářích JBoss nebo Liferay, chisel na portu 8443, dlouhá spojení HTTP s chunked kódováním, která nesou surový provoz TCP mezi interními servery.

Domény a IP adresy z exportu logů si vytáhnete do seznamu v našem extraktoru IOC, který běží jen ve vašem prohlížeči. Hodnocení dalších chyb z řetězce si přepočítáte v kalkulačce CVSS.

Co udělat

1. Aktualizujte na RI.2026.07 všechny čtyři dotčené produkty. Cisco uvádí, že obejití bez aktualizace neexistuje.
2. Omezte přístup k rozhraní OCI-P (v kampani port 2208) jen na systémy, které ho potřebují. Rozhraní pro správu by nemělo být dostupné z internetu. Pravidla firewallu si připravíte v naší kalkulačce podsítí.
3. Pokud byl server dostupný zvenku před aktualizací, počítejte s únikem. Vyměňte soukromé klíče a certifikáty, přihlašovací údaje SSL, hesla k databázím a účty správců, které na serveru byly (doporučení Malbear Labs).
4. Vypněte výpis adresářů bez přihlášení, hlavně na Provisioning Serveru.
5. Projděte indikátory z předchozí části a hledejte i stopy pohybu po síti, nejen na samotném BroadWorks.
6. Zkontrolujte další chyby z kampaně. Výzkumníci doporučují opravit hlavně chyby z katalogu KEV (CVE-2022-22536, CVE-2023-4966, CVE-2024-3400), nevystavovat do internetu nepodporovaný JBoss AS 6 a omezit odchozí spojení ze serverů.
7. Nespoléhejte jen na antivirus se signaturami. Podle rozboru ho útočník obešel skripty a upraveným kódem webshellů; pomáhá detekce chování.
8. Hlaste incidenty. Organizace, na které se vztahuje zákon o kybernetické bezpečnosti, postupují podle svých povinností. Na Slovensku přijímá hlášení SK-CERT přes formulář na sk-cert.sk.

Časová osa

Aktualizace

• 10. 11. 2026 – první verze článku.