Cisco BroadWorks: fallo XXE CVE-2026-20320 ya explotado

Qué es y a quién afectaEl catálogo de vulnerabilidades del NIST (NVD) recoge el CVE-2026-20320, un fallo de tipo CWE-611 (restricción incorrecta de re...

Qué es y a quién afecta

El catálogo de vulnerabilidades del NIST (NVD) recoge el CVE-2026-20320, un fallo de tipo CWE-611 (restricción incorrecta de referencias a entidades externas XML) que afecta a Cisco BroadWorks. El problema está en el analizador XML de la interfaz Open Client Interface (OCI): las entradas XML se procesan mal porque la resolución de entidades externas está permitida por defecto. Un atacante remoto y sin autenticar puede enviar un mensaje XML manipulado al servicio Open Client Interface – Provisioning (OCI-P) y, si funciona, leer archivos sensibles del sistema con los privilegios del usuario de BroadWorks.

La gravedad asignada es CVSS 3.1 de 7,5 (HIGH), con vector AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N. Es decir, se ataca por red, sin credenciales y sin interacción del usuario, aunque el impacto se limita a la confidencialidad: no se modifica ni se interrumpe el servicio. Las versiones afectadas que lista la NVD son:

BroadWorks Application Delivery Platform: hasta ri.2026.07 (sin incluir).
BroadWorks Application Server: hasta 2026.0 (sin incluir).
BroadWorks Profile Server: hasta 2026.07 (sin incluir).
BroadWorks Xtended Services Platform: hasta 2026.07 (sin incluir).

BroadWorks es la plataforma de comunicaciones unificadas y telefonía IP que muchos operadores y empresas usan para dar servicio de voz. Aunque no es un producto que suela estar en la web pública de una pyme, sí aparece en entornos de proveedor y en infraestructuras de comunicaciones contratadas, así que conviene saber si se depende de ella directa o indirectamente.

Por qué es urgente

No es un fallo teórico. CISA añadió el CVE-2026-20320 a su catálogo KEV el 10 de noviembre de 2026, lo que significa que hay constancia de explotación en ataques reales. A las agencias federales de EE. UU. les ha dado de plazo hasta el 24 de noviembre de 2026 para aplicar mitigaciones siguiendo las instrucciones del fabricante y la guía BOD 26-04, que prioriza las actualizaciones según el riesgo. Si las mitigaciones no están disponibles, la alternativa que plantea CISA es dejar de usar el producto.

En el material consultado no consta uso en campañas de ransomware, pero eso no rebaja la urgencia: un fallo que permite leer archivos de configuración puede exponer credenciales, direcciones y parámetros internos que después facilitan otros movimientos. En España, y con el RGPD y la LOPDGDD en la mano, una fuga de configuración con datos personales o de clientes obliga a valorar notificaciones y a documentar el incidente.

Qué hacer hoy

El orden de actuación debería ser este:

Inventariar: comprobar si la organización usa BroadWorks, en qué componentes (Application Server, Profile Server, Application Delivery Platform, Xtended Services Platform) y en qué versión exacta. Si se trabaja con un operador o proveedor, preguntarle directamente.
Actualizar o mitigar: aplicar la actualización o las mitigaciones que indique el aviso oficial del fabricante para cada componente. Si el aviso no detalla una versión corregida concreta, hay que seguir lo que publique Cisco y no improvisar.
Revisar indicios: buscar peticiones anómalas al servicio OCI-P, errores de parseo XML y accesos inesperados a archivos de configuración. CISA pide además requisitos de triaje forense, así que conviene conservar registros antes de tocar nada.
Reducir exposición: limitar al máximo qué servicios de BroadWorks son accesibles desde internet y restringir el acceso a OCI-P a las redes y direcciones que realmente lo necesiten.

Nada de esto sustituye al aviso del fabricante: es la referencia que manda sobre versiones, parches y mitigaciones.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes, comercios online y empresas de Lleida, Barcelona, Tarragona, Girona y resto de España que tienen webs en WordPress, PrestaShop o Joomla, servidores propios o un equipo de IT pequeño. En un caso como este, nuestro papel es ayudar a saber qué hay expuesto y en qué estado: auditorías de seguridad y pentesting para detectar vulnerabilidades antes de que las exploten, hardening de servidores para cerrar lo que no necesita estar abierto, monitorización y respuesta a incidentes si aparecen señales de intrusión, mantenimiento y actualización de los CMS, y reparación de webs hackeadas cuando el daño ya está hecho. Si tu infraestructura depende de plataformas de terceros, también ayudamos a revisar la configuración y a dejar por escrito qué se ha comprobado y qué queda pendiente.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.

Resultados sin salir de la página.