Eine knapp drei Monate alte Sicherheitslücke in Cisco BroadWorks wird für Angriffe benutzt. Die US-Behörde CISA hat CVE-2026-20320 am 10. November 2026 in ihren Katalog der bekannt ausgenutzten Schwachstellen (KEV) aufgenommen. Die Lücke steckt in einer Software, die kaum ein Unternehmen selbst betreibt, von der aber sehr viele abhängen: BroadWorks läuft bei Telekommunikationsanbietern und Dienstleistern, die darauf Cloud-Telefonanlagen für ihre Firmenkunden bereitstellen.

Bemerkenswert ist der Widerspruch zwischen Behörde und Hersteller. Ciscos Sicherheitshinweis vom 19. August 2026 steht am 11. November 2026 unverändert in Version 1.0 im Netz. Dort heißt es weiterhin, dem eigenen Sicherheitsteam (PSIRT) seien weder öffentliche Ankündigungen noch eine böswillige Nutzung der Lücke bekannt. Die CISA nimmt Schwachstellen dagegen nur in den KEV-Katalog auf, wenn ihr Belege für Angriffe vorliegen. Welche das in diesem Fall sind, sagt die Behörde nicht.

XXE-Lücke im XML-Parser: Dateien lesen ohne Anmeldung

CVE-2026-20320 ist eine sogenannte XXE-Schwachstelle (XML External Entity, CWE-611). Betroffen ist nach Angaben von Cisco der XML-Parser des Open Client Interface (OCI), einer Schnittstelle, über die BroadWorks unter anderem eingerichtet und verwaltet wird. Der Parser löst externe Entitäten standardmäßig auf. Ein Angreifer kann deshalb eine präparierte XML-Nachricht an den Dienst „Open Client Interface – Provisioning“ (OCI-P) schicken und so an den Inhalt von Dateien des Servers gelangen – ohne Benutzerkonto, aus der Ferne und mit den Rechten des BroadWorks-Benutzers. Im Titel des Advisorys spricht Cisco von einer „Out-of-Band Blind“-XXE: Bei dieser Spielart kommen die Daten nicht in der direkten Antwort zurück, sondern über eine zweite Verbindung, die der Server zu einem System des Angreifers aufbaut.

Cisco bewertet die Lücke mit einem CVSS-Wert von 7,5 („hoch“, Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N). Der Wert stammt vom Hersteller selbst und steht so auch im CVE-Eintrag. Die Einstufung erklärt sich aus dem Vektor: Der Angriff ist einfach und braucht keine Anmeldung, gefährdet aber „nur“ die Vertraulichkeit. Daten verändern oder den Dienst lahmlegen lässt sich über die Lücke allein nicht. Die CISA ergänzt im CVE-Eintrag ihre eigene Einschätzung: Ausnutzung „aktiv“, automatisierbar „ja“.

Dass eine reine Lese-Lücke trotzdem schwer wiegt, liegt daran, was auf einem solchen Server liegt. Cisco spricht von „sensiblen Konfigurationsinformationen“. Dazu können Zugangsdaten und private Schlüssel gehören, mit denen ein Angreifer anschließend weiterkommt.

Betroffene Komponenten und korrigierte Version

Laut Cisco sind vier BroadWorks-Produkte verwundbar, und zwar unabhängig von der Konfiguration:

  • BroadWorks Application Delivery Platform (ADP) – Cisco nennt hier in einer Fußnote die Anwendungen Open Client Server (OCS) und OCIOverSoap
  • BroadWorks Application Server
  • BroadWorks Profile Server
  • BroadWorks Xtended Services Platform (XSP)

Für alle vier gilt dieselbe Grenze: Verwundbar sind Ausgaben vor RI.2026.07, korrigiert ist die Lücke ab RI.2026.07. Einen Workaround gibt es nach Angaben von Cisco nicht – wer betroffen ist, muss aktualisieren. Gemeldet hat die Schwachstelle laut Advisory Sandesh M Gawai.

Vier Cisco-IP-Telefone der Serie 7900 auf einem dunklen Holztisch (Symbolbild)

Symbolbild: IP-Telefone der Cisco-Serie 7900. Die Lücke steckt nicht in den Telefonen, sondern in der Server-Plattform des Anbieters. Foto: Антон Пищулин / Wikimedia Commons, CC BY-SA 4.0

Warum eine Lücke beim Anbieter viele Firmen trifft

BroadWorks ist keine Telefonanlage für den Serverraum eines Mittelständlers. Cisco beschreibt das Produkt als Plattform für Telefonie und Zusammenarbeit, die von Dienstanbietern betrieben wird. Nach Angaben des Herstellers nutzen sie weltweit mehr als 26 Millionen Geschäftsanwender, bereitgestellt von über 450 Anbietern in mehr als 80 Ländern. Der Endkunde sieht davon meist nur das Tischtelefon, die App und das Kundenportal seines Anbieters – oft unter dessen eigenem Markennamen.

Daraus ergibt sich das eigentliche Problem. Auf einer einzigen BroadWorks-Installation liegen die Telefonie-Einstellungen vieler Unternehmen zugleich. Wer dort Dateien auslesen kann, greift nicht eine Firma an, sondern die gemeinsame Plattform aller Kunden dieses Anbieters. Die betroffenen Firmen können die Lücke weder selbst erkennen noch selbst schließen. Sie sind darauf angewiesen, dass ihr Anbieter das Update eingespielt hat. Ob die eigene Cloud-Telefonanlage überhaupt auf BroadWorks basiert, wissen viele Kunden nicht.

Telefonie-Plattformen stehen derzeit ohnehin im Blick von Angreifern: Erst am 9. November 2026 hat die CISA auch eine Lücke in FreeSWITCH als ausgenutzt gemeldet.

Bericht über KI-gestützten Angriff: Was Malbear Labs schildert

Einen Hinweis darauf, wie die Lücke benutzt wird, liefert die Sicherheitsfirma Malbear Labs. Sie hat am 8. November 2026 einen Bericht mit dem Titel „Operation Snowball“ veröffentlicht; die CISA verlinkt ihn in ihrer Ergänzung zum CVE-Eintrag. Das Folgende ist die Darstellung von Malbear Labs. Weder Cisco noch die CISA haben die Einzelheiten bestätigt, und die Firma nennt die Opfer nicht.

Nach eigenen Angaben stießen die Forscher im November 2026 auf ein offen zugängliches Verzeichnis mit dem kompletten Arbeitsbereich eines Angriffswerkzeugs: rund 70 Sitzungsprotokolle, Werkzeuge, erbeutete Zugangsdaten und Berichte. Demnach ließ ein chinesischsprachiger Betreiber ein per Jailbreak von seinen Schutzregeln befreites KI-Modell (laut Bericht „DeepSeek Flash“) mehr als zwei Wochen lang weitgehend selbstständig arbeiten. Ziel waren ein europäischer Telekommunikationsanbieter und Organisationen, die ihre Systeme in dessen Rechenzentren und Cloud betreiben. Dreizehn davon habe der KI-Agent selbst als Ziele benannt.

CVE-2026-20320 war laut Malbear Labs der Einstieg in das Netz des Anbieters. Der Agent habe eine präparierte OCI-Anfrage an die Xtended Services Platform geschickt und so Dateien vom Server gelesen, darunter den privaten Schlüssel der Systemidentität, drei Sätze SSL-Zugangsdaten und drei weitere private Schlüssel. Mit dem Identitätsschlüssel weisen sich BroadWorks-Komponenten untereinander aus; wer ihn besitzt, kann sich dem Bericht zufolge gegenüber anderen Komponenten als XSP ausgeben. Malbear Labs nennt als Stand des angegriffenen Systems „Release 23.0.1.1075“ und als Port 2208. Beides steht nicht in Ciscos Advisory.

Wie selbstständig die KI tatsächlich gehandelt hat, lässt sich von außen nicht prüfen. Die Einschätzung beruht auf den Protokollen, die Malbear Labs ausgewertet hat und nur in Auszügen zeigt. Belegt ist durch die CISA nur, dass die Lücke angegriffen wird – nicht, von wem und mit welchen Mitteln.

Was du jetzt tun solltest

Wenn du BroadWorks betreibst:

  • Bring Application Delivery Platform, Application Server, Profile Server und Xtended Services Platform auf RI.2026.07 oder neuer. Cisco nennt keinen anderen Weg, die Lücke zu schließen.
  • Prüfe, von wo aus die OCI-Schnittstellen deiner Installation erreichbar sind, und beschränke den Zugriff auf die Systeme, die ihn wirklich brauchen. Das ist allgemeine Härtung und kein von Cisco genannter Workaround – das Update ersetzt es nicht.
  • War ein verwundbarer Server aus fremden Netzen erreichbar, solltest du davon ausgehen, dass Dateien gelesen worden sein können. Dann gehören die dort abgelegten Schlüssel, Zertifikate und Passwörter erneuert – auch nach dem Update, denn der Patch macht einen abgeflossenen Schlüssel nicht wieder geheim.
  • Gleiche deine Protokolle mit den Indikatoren ab, die Malbear Labs am Ende seines Berichts auflistet (eine Domain und mehrere IP-Adressen).
  • US-Bundesbehörden müssen bis zum 24. November 2026 handeln. Für alle anderen ist die Frist nicht bindend, die CISA empfiehlt aber allen Organisationen, KEV-Lücken vorrangig zu schließen.

Wenn du Kunde einer Cloud-Telefonanlage bist:

  • Frag deinen Anbieter, ob seine Plattform auf Cisco BroadWorks basiert und seit wann dort RI.2026.07 oder neuer läuft.
  • Frag ausdrücklich nach, ob es Hinweise auf Zugriffe gab und ob Zugangsdaten deiner Anlage erneuert werden müssen.
  • Selbst patchen kannst du nichts. Achte aber in den kommenden Wochen auf Auffälligkeiten, etwa unbekannte Verbindungen in der Abrechnung, und melde sie dem Anbieter.

Quellen

Bildnachweis