Fallo de Cisco BroadWorks con CVE-2026-20320: la vulnerabilidad ya se explota en ataques reales y un agente de inteligencia artificial ayudó a robar las llaves de una telefónica europea. La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) lo sumó el 10 de noviembre a su catálogo de fallos explotados, con fecha límite de parcheo el 24 de noviembre para las agencias federales.
BroadWorks es la plataforma que mueve la telefonía en la nube de muchas operadoras y proveedores de servicios gestionados: centralitas virtuales, voz y colaboración que la empresa cliente recibe con la marca de su operadora, sin ver el nombre de Cisco en ninguna pantalla. Ese detalle importa. Miles de negocios hispanos en Estados Unidos y América Latina usan ese tipo de centralita y ni sospechan qué programa corre debajo.
El fallo vive en el analizador XML de la interfaz abierta de cliente (OCI) de BroadWorks. Cisco lo explicó en su aviso del 19 de agosto: la resolución de entidades externas viene activada por defecto y el analizador procesa las entradas XML sin el control debido.
Un atacante remoto, sin contraseña y sin cuenta, envía un mensaje XML preparado al servicio de aprovisionamiento OCI-P y el sistema le deja leer archivos del equipo con los permisos del usuario de BroadWorks.
La ficha técnica deja poco espacio para la calma. Gravedad 7,5 en la escala CVSS, debilidad CWE-611, identificador interno CSCwv48590 y cuatro componentes afectados: la plataforma de entrega de aplicaciones, el servidor de aplicaciones, el servidor de perfiles y la plataforma de servicios extendidos, conocida como XSP. Cisco fue claro en agosto: no hay solución temporal. La única salida es actualizar a la versión RI.2026.07 o una posterior.
Un agente con DeepSeek robó la llave maestra de la plataforma
El dato que cambia el tamaño de la historia lo publicó la firma de inteligencia Malbear Labs durante el fin de semana y lo recogió BleepingComputer. Un actor de habla china explotó el fallo con ayuda de un modelo DeepSeek Flash liberado de sus restricciones, actuando como agente autónomo, contra una operadora de telecomunicaciones europea y trece organizaciones que usaban sus centros de datos y su nube.
El agente atacó el equipo XSP de la operadora. Una petición OCI preparada al puerto 2208 bastó para que el analizador XML leyera archivos arbitrarios del sistema de archivos, sin autenticación previa. Del equipo salieron la clave privada de identidad del sistema, tres juegos de credenciales SSL (el protocolo que cifra las comunicaciones) y tres claves privadas adicionales con sus certificados confirmados.
La clave de identidad merece una pausa. BroadWorks la usa para que sus propios componentes se autentiquen entre sí; quien la posee puede hacerse pasar por el XSP en la comunicación interna de la plataforma.
Malbear Labs encontró además el servidor de aprovisionamiento expuesto con un listado de directorio sin autenticación, y ese servidor guarda la configuración de todos los abonados. Parchear cierra la puerta, pero no devuelve las llaves ya robadas: toca rotar credenciales y certificados.
En agosto, el equipo de respuesta de Cisco declaró que no conocía uso malicioso del fallo. Tres meses después, el mismo CVE aparece en la lista de explotación confirmada. No es un caso aislado dentro del catálogo: de acuerdo con el conteo de BleepingComputer, CISA ha sumado 103 vulnerabilidades de Cisco a esa lista desde noviembre de 2021, y siete de ellas también aparecen en campañas de secuestro de datos.
La fecha del 24 de noviembre marca el ritmo de respuesta
La directiva operativa BOD 26-04 obliga a las agencias civiles federales a remediar el fallo antes del 24 de noviembre, un plazo de dos semanas que CISA presenta como prioritario. La orden legal aplica al gobierno federal, pero la agencia pidió a las empresas privadas el mismo trato: gestión de vulnerabilidades por riesgo y prioridad para todo lo que entre en el catálogo de explotados.
El contraste con otro frente abierto de Cisco ayuda a medir la presión sobre los equipos de red: el fallo de las VPN de Cisco ASA y FTD también llegó con explotación activa y parche urgente. Dos plataformas distintas, el mismo patrón: servicios expuestos a internet, credenciales en juego y ventanas de parcheo medidas en días, no en meses.
Para una empresa que recibe su telefonía de una operadora, la pregunta práctica no es si conoce BroadWorks, sino si su proveedor ya aplicó RI.2026.07. Vale pedir la confirmación por escrito, con la versión instalada y la fecha del cambio. Y si el proveedor operaba un XSP expuesto, la segunda pregunta es obligada: ¿rotaron las claves y los certificados, o solo instalaron el parche?
CISA no publicó detalles de las campañas que motivaron la entrada en el catálogo, y la atribución al actor de habla china procede del reporte de Malbear Labs, no de un comunicado oficial. Lo confirmado alcanza para actuar: el fallo existe desde agosto con arreglo disponible, la explotación está documentada y el plazo federal vence el 24 de noviembre, con las claves de una operadora ya fuera de su caja.
Fuente: BleepingComputer
