اپراتورهای مخابراتی و ارائه‌دهندگان خدمات مدیریت‌شده (MSP) از پلتفرم نرم‌افزاری ارتباطات یکپارچه مبتنی بر فضای ابری Cisco BroadWorks برای عرضه خدمات تلفن سازمانی مبتنی بر ابر، سیستم‌های تلفنی PBX و ابزارهای ارتباطی و همکاری به مشتریان تجاری استفاده می‌کنند. آژانس امنیت سایبری و زیرساخت آمریکا (CISA) درباره بهره‌برداری فعال هکرها از آسیب‌پذیری که با شناسه CVE-2026-20320 ردیابی می‌شود و ریشه آن به ضعف در محدودسازی ارجاع موجودیت‌های خارجی در XML یا همان XXE در تجزیه‌گر XML رابط باز کلاینت (OCI) بازمی‌گردد، هشدار داد. مهاجمان می‌توانند بدون نیاز به احراز هویت و از راه دور، با ارسال پیام‌های XML دست‌کاری‌شده به سامانه‌های آسیب‌پذیر، اطلاعات حساس پیکربندی و فایل‌های موجود در سیستم را استخراج کنند.
شرکت سیسکو در ماه اوت با انتشار وصله امنیتی، این آسیب‌پذیری را برطرف کرده بود. به گفته این شرکت، مشکل از آنجا ناشی می‌شود که ورودی‌های XML به‌درستی پردازش نمی‌شوند و امکان شناسایی و پردازش موجودیت‌های خارجی به‌صورت پیش‌فرض فعال است. مهاجمان با ارسال یک پیام XML مخرب به سرویس Open Client Interface – Provisioning (OCI-P) می‌توانند از این ضعف سوءاستفاده کنند.
CISA اکنون این آسیب‌پذیری را به فهرست آسیب‌پذیری‌های شناخته‌شده مورد بهره‌برداری (KEV) اضافه کرده و از نهادهای اجرایی غیرنظامی دولت فدرال آمریکا (FCEB) خواسته است حداکثر تا ۲۴ نوامبر، یعنی طی دو هفته، سیستم‌های آسیب‌پذیر خود را ایمن‌سازی کنند. این مهلت در چارچوب دستورالعمل الزام‌آور عملیاتی BOD 26-04 تعیین شده است.
اگرچه این دستورالعمل مستقیماً فقط نهادهای فدرال آمریکا را ملزم می‌کند، CISA از تمامی سازمان‌ها، از جمله شرکت‌های بخش خصوصی، خواسته است نصب وصله‌های امنیتی مربوط به این آسیب‌پذیری را در اولویت قرار دهند. این آژانس هشدار داده است که آسیب‌پذیری‌های ثبت‌شده در فهرست KEV از مسیرهای رایج حملات سایبری هستند و می‌توانند خطرات جدی برای زیرساخت‌های سازمانی ایجاد کنند.
در همین حال، شرکت اطلاعات تهدید Malbear Labs اعلام کرده است که یک عامل تهدید چینی‌زبان با استفاده از یک مدل هوش مصنوعی DeepSeek Flash که محدودیت‌های آن دور زده شده بود، از این آسیب‌پذیری در حملاتی علیه یک شرکت مخابراتی اروپایی و ۱۳ سازمان استفاده کننده از مراکز داده و زیرساخت ابری این شرکت، بهره‌برداری کرده است.
بر اساس گزارش این شرکت، حملات یادشده زیرساخت BroadWorks XSP یا همان پلتفرم توسعه‌یافته خدمات را هدف قرار داده‌اند. محققان همچنین متوجه شدند سرور تأمین و پیکربندی BroadWorks که اطلاعات پیکربندی مشترکان را ذخیره می‌کند، از طریق قابلیت فهرست‌کردن دایرکتوری‌ها بدون نیاز به احراز هویت در دسترس مهاجمان قرار داشته است.
به گفته Malbear Labs، عامل تهدید با بهره‌گیری از آسیب‌پذیری CVE-2026-20320 و ارسال یک درخواست مخرب OCI به درگاه ۲۲۰۸، توانسته است فایل‌های دلخواهی را از سیستم فایل سرور استخراج کند؛ حمله‌ای که برای اجرای آن نیازی به احراز هویت اولیه وجود نداشته است. مهاجمان پس از نفوذ به میزبان XSP موفق شدند کلید خصوصی هویت سیستمی، سه مجموعه اعتبارنامه SSL و سه کلید خصوصی دیگر را بازیابی کنند که تطابق گواهی‌های دیجیتال مربوط به آن‌ها نیز تأیید شده است.
کلید هویت سیستمی در پلتفرم BroadWorks برای احراز هویت میان اجزای مختلف زیرساخت استفاده می‌شود و دستیابی به آن می‌تواند امکان جعل هویت سرور XSP و برقراری ارتباط غیرمجاز با سایر اجزای پلتفرم را برای مهاجمان فراهم کند.
بر اساس آمار CISA، از نوامبر ۲۰۲۱ تاکنون ۱۰۳ آسیب‌پذیری امنیتی مرتبط با محصولات سیسکو به فهرست آسیب‌پذیری‌های شناخته‌شده مورد بهره‌برداری این آژانس اضافه شده‌اند. هفت مورد از این آسیب‌پذیری‌ها نیز در حملات باج‌افزاری سوءاستفاده شده است.