CISA suma CVE-2026-20320 de Cisco BroadWorks al KEV

CISA incorporó CVE-2026-20320, una vulnerabilidad de restricción inadecuada de referencias a entidades externas XML en Cisco BroadWorks, a su catálogo Known Exploited Vulnerabilities. La agencia señaló que la falla está siendo explotada activamente y fijó el 24 de noviembre de 2026 como fecha límite de remediación para las agencias civiles federales estadounidenses.

¿Qué dijo CISA sobre CVE-2026-20320?

CISA la agregó al catálogo KEV el 10 de noviembre de 2026 y sostuvo que está en explotación activa. La fecha del 24 de noviembre deriva de la Directiva Operacional Vinculante BOD 26-04, según informó BleepingComputer. Ese plazo aplica al universo federal civil de Estados Unidos, no al público general.

¿Qué problema técnico presenta BroadWorks?

El análisis técnico consultado identifica la falla como CWE-611 y le asigna una puntuación CVSS 7.5, catalogada como alta, atribuida al aviso oficial de Cisco. Threadlinqs también la vincula con el bug CSCwv48590 y reproduce el vector CVSS 3.1 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N, además de asociarla al aviso cisco-sa-bworks-xxe-uwUd7CEt. En términos prácticos, se trata de una XXE no autenticada en el parser OCI XML de BroadWorks.

¿Qué productos quedan alcanzados?

CyberSecureFox y Helix coinciden en que los componentes afectados son BroadWorks Application Delivery Platform, Application Server, Profile Server y Xtended Services Platform, siempre que usen versiones vulnerables de BroadWorks. CyberSecureFox remarca que el alcance aplica independientemente de la configuración del dispositivo, y Helix añade que el aviso de Cisco seguía en versión 1.0 y no incluía workarounds.

¿Qué postura mostraba Cisco en su aviso?

Según el análisis de CyberSecureFox, el aviso de Cisco todavía afirmaba que PSIRT no conocía anuncios públicos ni uso malicioso de la vulnerabilidad. Esa lectura queda en tensión con la clasificación de explotación activa que hizo CISA. El mismo relevamiento indica que Cisco y los equipos de monitoreo técnico situaron la corrección en RI.2026.07.

¿Qué datos adicionales aparecen en los registros técnicos?

Rescana reportó que NVD tenía el registro como analizado y republicaba la métrica 7.5 de Cisco como puntuación secundaria, sin una puntuación primaria propia de NVD. Ese dato encaja con un escenario en el que el registro ya estaba procesado, pero la referencia central seguía siendo la valoración incluida en el aviso de Cisco.