Cisco BroadWorks: falla sfruttata, aggiorna subito

Cosa è successo

Il 10 novembre 2026 la CISA (l'agenzia americana per la cybersicurezza) ha aggiunto CVE-2026-20320 al catalogo KEV, l'elenco delle falle di cui risulta lo sfruttamento reale. Le agenzie federali americane hanno tempo fino al 24 novembre per applicare le correzioni del fornitore. Secondo BleepingComputer, la CISA invita a darle la precedenza anche le aziende private.

La scheda del catalogo non spiega come né da chi la falla sia sfruttata, e non indica un uso da parte di gruppi ransomware (il campo è «Unknown», cioè sconosciuto).

La falla

È una falla di tipo XXE (XML External Entity) nel parser XML dell'interfaccia OCI di BroadWorks. Secondo Cisco, un attaccante da remoto e senza autenticazione può inviare un messaggio XML costruito apposta al servizio OCI-P e leggere file riservati del sistema, con i privilegi dell'utente BroadWorks. La causa è che la risoluzione delle entità esterne è consentita per impostazione predefinita. Il livello di gravità è alto, con punteggio CVSS 7,5 su 10.

Cisco l'ha corretta e ha pubblicato l'avviso cisco-sa-bworks-xxe-uwUd7CEt il 19 agosto 2026. Sono interessate le versioni precedenti alla release RI.2026.07 di BroadWorks Application Delivery Platform, Application Server, Profile Server e Xtended Services Platform. Non ci sono soluzioni alternative: serve l'aggiornamento.

L'attacco raccontato da Malbear

Malbear Labs, società di sicurezza, ha pubblicato l'8 novembre una ricerca sull'operazione che ha chiamato Operation Snowball. Secondo Malbear, un aggressore di lingua cinese ha lasciato lavorare per oltre due settimane un agente di intelligenza artificiale con il «jailbreak» (cioè con i blocchi del modello aggirati), basato su DeepSeek Flash. Malbear l'ha scoperto perché la cartella di lavoro dell'attaccante era rimasta accessibile da Internet senza password.

L'obiettivo era un operatore di telecomunicazioni europeo e 13 organizzazioni che usano i suoi data center. Per entrare nella rete dell'operatore l'agente avrebbe sfruttato proprio CVE-2026-20320 sul server BroadWorks XSP; da lì avrebbe recuperato chiavi private e credenziali SSL. Malbear considera l'attività compatibile con un operatore di origine cinese, ma non la collega a uno Stato.

Malbear dice anche che il server di provisioning di BroadWorks era esposto con un elenco di cartelle senza autenticazione: è un problema di configurazione diverso dalla falla CVE-2026-20320.

Le testate che ne parlano (BleepingComputer, Infosecurity Magazine) riprendono questa stessa ricerca: l'attacco, per ora, ha una sola fonte, quella di Malbear.

Cosa non si sa ancora

I danni. Secondo Malbear, dalle trascrizioni risulta l'accesso a dati di fatturazione degli abbonati e a milioni di cartelle di pazienti. Queste ultime, però, sarebbero state raggiunte attraverso un database diverso da BroadWorks, rimasto con le password predefinite. Infosecurity precisa che il post non dice se Malbear abbia verificato queste informazioni con le vittime, né se tutte e 13 le organizzazioni siano state davvero violate.

Cisco e CISA. L'avviso di Cisco, fermo alla versione 1.0 del 19 agosto, dice che allora Cisco non era a conoscenza di usi malevoli e non risulta un aggiornamento successivo. Né Cisco né la CISA collegano ufficialmente il catalogo all'attacco descritto da Malbear.

Gli elementi mancanti. Il nome dell'operatore colpito non è noto, e non si sa quanti altri sistemi BroadWorks siano stati attaccati.

Cosa fare

Se amministri BroadWorks:

1. Controlla la versione in uso: la correzione è nella release RI.2026.07; se la tua è precedente, pianifica subito l'aggiornamento (Cisco non indica soluzioni alternative).
2. Leggi l'avviso Cisco cisco-sa-bworks-xxe-uwUd7CEt per la tabella ufficiale delle versioni, prodotto per prodotto.
3. Come precauzione in più (consiglio nostro, non una correzione): verifica che le interfacce OCI e il server di provisioning non siano raggiungibili da Internet senza necessità.
4. Se la versione era vecchia, considera la configurazione e le chiavi del sistema come possibilmente lette: valuta con il tuo fornitore la sostituzione di certificati e chiavi private (anche questo è un consiglio prudenziale nostro).