CISA inclui CVE-2026-20320 da Cisco no KEV

A CISA incorporou a CVE-2026-20320, uma vulnerabilidade de restrição inadequada de referências a entidades externas XML no Cisco BroadWorks, ao catálogo Known Exploited Vulnerabilities. A agência afirmou que a falha está em exploração ativa e definiu 24 de novembro de 2026 como prazo de remediação para as agências civis federais dos Estados Unidos.

¿Qué dijo CISA sobre CVE-2026-20320?

A CISA adicionou a falha ao catálogo KEV em 10 de novembro de 2026 e manteve a classificação de exploração ativa. O prazo de 24 de novembro decorre da Directiva Operacional Vinculante BOD 26-04, segundo informou o BleepingComputer. Esse prazo vale para o universo federal civil dos Estados Unidos, não para o público em geral.

¿Qué problema técnico presenta BroadWorks?

A análise técnica consultada identifica a falha como CWE-611 e atribui nota CVSS 7.5, classificada como alta, com base no aviso oficial da Cisco. A Threadlinqs também a vincula ao bug CSCwv48590 e reproduz o vetor CVSS 3.1 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N, além de associá-la ao aviso cisco-sa-bworks-xxe-uwUd7CEt. Na prática, trata-se de uma XXE não autenticada no parser OCI XML do BroadWorks.

¿Qué productos quedan alcanzados?

A CyberSecureFox e a Helix concordam que os componentes afetados são BroadWorks Application Delivery Platform, Application Server, Profile Server e Xtended Services Platform, desde que usem versões vulneráveis do BroadWorks. A CyberSecureFox ressalta que o alcance vale independentemente da configuração do dispositivo, e a Helix acrescenta que o aviso da Cisco ainda estava na versão 1.0 e não trazia workarounds.

¿Qué postura mostraba Cisco en su aviso?

Segundo a análise da CyberSecureFox, o aviso da Cisco ainda dizia que o PSIRT não tinha conhecimento de anúncios públicos nem de uso malicioso da vulnerabilidade. Essa leitura entra em tensão com a classificação de exploração ativa feita pela CISA. O mesmo levantamento indica que a Cisco e as equipes de monitoramento técnico situaram a correção em RI.2026.07.

¿Qué datos adicionales aparecen en los registros técnicos?

A Rescana informou que a NVD registrava o caso como analisado e republicava a métrica 7.5 da Cisco como pontuação secundária, sem uma pontuação primária própria da NVD. O dado se encaixa em um cenário no qual o registro já estava processado, mas a referência central continuava sendo a avaliação incluída no aviso da Cisco.