"CISA KEV'e iki yeni açık: Cisco BroadWorks XXE (CVE-2026-20320) ve Openwave Webtop Media Transcoder"
CISA, 10 Kasım'da Cisco BroadWorks'teki kimlik doğrulamasız XXE açığını ve Openwave Webtop Media Transcoder'daki dosya türü kısıtlaması açığını saldırılarda kullanılan açıklar kataloğuna ekledi. Federal kurumlar için son tarih 24 Kasım.
CVE-2026-20320, CVE-2026-111793
CISA, 10 Kasım'da Known Exploited Vulnerabilities (KEV) kataloğuna altı açık ekledi. Bunlardan dördü sitede daha önce işlendi: Outlook zero-day'i CVE-2026-124194, Barracuda ESG zinciri ve Chrome'daki CVE-2026-125350. Listeye giren diğer iki açık telekom ve e-posta sağlayıcılarını ilgilendiriyor: Cisco BroadWorks'teki CVE-2026-20320 ve Openwave Webtop Media Transcoder'daki CVE-2026-111793.
CVE-2026-20320, BroadWorks'ün Open Client Interface (OCI) XML parser'ında bulunan, kimlik doğrulama gerektirmeyen out-of-band blind XXE açığı. Cisco'nun 19 Ağustos bültenine göre uzaktaki bir saldırgan etkilenen sistemdeki hassas yapılandırma bilgilerini okuyabiliyor (CVSS 7.5). Cisco bülten yayımlandığında istismardan haberdar olmadığını belirtmişti. Malbear Labs'in bu hafta yayımladığı Operation Snowball raporu, jailbreak edilmiş bir AI ajanının bir Avrupa telekom sağlayıcısına bu açıktan girdiğini anlatıyordu. CVE-2026-111793 ise kimliği doğrulanmış bir kullanıcının Webmail arayüzünü atlayarak yöneticinin izin vermediği belge türlerini dönüştürtebilmesine yol açıyor. CISA iki açığın hangi saldırılarda kullanıldığını açıklamadı; fidye yazılımı bağlantısı "bilinmiyor" olarak işaretli. Federal kurumlar için son tarih 24 Kasım.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| Cisco BroadWorks Application Delivery Platform, Application Server, Profile Server (CVE-2026-20320) | RI.2026.07 öncesi sürümler | RI.2026.07 |
| Openwave Webtop Media Transcoder (CVE-2026-111793) | Üretici bildirimindeki liste | Üretici bildirimindeki liste |
BroadWorks için kesin sürüm ve patch bilgisi Cisco bülteninde (Bug ID CSCwv48590), Openwave için CAN-2026-2032674 bildiriminde ve JVN kaydında yer alıyor. Cisco bu açık için workaround olmadığını belirtiyor.
Beni etkiliyor mu?
- BroadWorks Application Server, Application Delivery Platform ya da Profile Server işletiyorsanız sunucuların çalıştığı release'i yönetim arayüzünden ya da Cisco'nun önerdiği sürüm sorgulama yöntemiyle okuyun. Sürüm RI.2026.07'den eskiyse etkileniyorsunuz.
- OCI arayüzünün internete ya da müşteri ağlarına açık olup olmadığını envanter ve firewall kayıtlarınızdan kontrol edin; dışa açık OCI, riski doğrudan büyütür.
- Openwave (Webtop) tabanlı webmail hizmeti veriyorsanız Media Transcoder bileşeninin kurulu sürümünü üretici bildirimindeki listeyle karşılaştırın.
Ne yapılmalı?
- BroadWorks sunucularını RI.2026.07 ya da Cisco bülteninde belirtilen düzeltilmiş sürüme taşıyın. Workaround olmadığı için patch tek kalıcı çözüm.
- Patch'e kadar OCI arayüzüne erişimi yalnızca gereken yönetim ve uygulama ağlarıyla sınırlandırın (firewall/ACL ile, change management sürecinden geçirerek).
- BroadWorks sunucularından beklenmedik dış bağlantıları (blind XXE dışarıya veri sızdırmak için sunucunun saldırgana bağlanmasını kullanır) ve OCI isteklerindeki olağan dışı XML yüklerini log'larda geriye dönük inceleyin; yapılandırma bilgisi sızmış olabilecek sistemlerde ilgili parolaları ve anahtarları yenileyin.
- Openwave Webtop için üreticinin CAN-2026-2032674 bildirimindeki patch'i uygulayın ve Media Transcoder'a Webmail dışında doğrudan erişilip erişilemediğini kontrol edin.
- Telekom ve hizmet sağlayıcıysanız Operation Snowball raporundaki zinciri (BroadWorks girişi, ardından Liferay ve JBoss açıkları) kendi ortamınızda da tarayın.
