Cisco BroadWorks CVE-2026-20320 explotada: proteja su telefonía en la nube

¿Cómo funciona el ataque XXE contra BroadWorks? La interfaz OCI acepta solicitudes XML. Un analizador vulnerable procesa las "entidades externas" definidas dentro de ese XML, de modo que un atacante sin autenticación puede enviar una solicitud manipulada que obliga al servidor a leer archivos locales y devolverlos. Según la fuente, el impacto se describe como la lectura de información de configuración sensible o de archivos sensibles del sistema, con los privilegios del servicio BroadWorks. En una plataforma de telefonía, eso puede incluir credenciales, claves y datos de suscriptores.

Según la investigación de Malbear Labs, publicada por The Hacker News, la falla se usó en una campaña que los investigadores llaman "Operation Snowball". Sus hallazgos:

• Un actor no identificado, de habla china, operó un marco de ataque autónomo con IA construido sobre un modelo de lenguaje con restricciones eliminadas (jailbreak).
• El objetivo fue un operador de telecomunicaciones europeo y 13 empresas alojadas en su infraestructura.
• En unas dos semanas, los atacantes enumeraron cientos de activos, extrajeron decenas de conjuntos de credenciales y exfiltraron miles de filas de registros de facturación y dispositivos de suscriptores.
• El punto de entrada principal fue un servidor BroadWorks XSP en el puerto 2208, y luego los atacantes desplegaron las herramientas Sliver y Chisel y web shells Behinder.

Son afirmaciones de los investigadores y no se han confirmado de forma independiente, pero el patrón es claro. Un solo proveedor sin parches expuso a la vez a trece de sus clientes empresariales. Esos clientes no hicieron nada mal en sus propias redes. Ese es el desafío central de la seguridad de la telefonía en la nube: su riesgo depende de los parches, la segmentación y el monitoreo del operador, y la mayoría de los contratos no le da visibilidad sobre nada de eso.

La respuesta correcta depende de si usted opera BroadWorks o contrata servicios construidos sobre esta plataforma. Ambos grupos tienen tareas esta semana.

Si usted opera BroadWorks (operadores, revendedores, grandes empresas):

1. Aplique ya la versión corregida de Cisco. Revise el aviso de Cisco para identificar la versión que corrige CVE-2026-20320 en su línea de plataforma y adopte como propio el plazo de CISA del 24 de noviembre.
2. Retire de internet las interfaces OCI y XSP. Restrinja puertos como el 2208 a redes de gestión y sistemas de aprovisionamiento conocidos, detrás de un firewall o una VPN.
3. Busque señales de compromiso. Revise los registros web y de OCI en busca de solicitudes XML con declaraciones DOCTYPE o ENTITY, y analice los servidores XSP en busca de web shells, herramientas de túnel desconocidas y conexiones salientes inusuales.
4. Rote los secretos. Ante cualquier indicio de acceso, rote credenciales de administración y aprovisionamiento, claves de API, credenciales SIP y certificados TLS, no solo contraseñas.

Si contrata PBX en la nube o UCaaS a un proveedor:

1. Pregunte por escrito a su proveedor si su plataforma usa BroadWorks y si la corrección de agosto de 2026 está aplicada en todos los servidores.
2. Restablezca las credenciales SIP y del portal de administradores y dispositivos si el proveedor no puede dar una respuesta clara.
3. Active controles antifraude. Bloquee o limite las llamadas internacionales y de tarifa premium, y revise los registros de llamadas en busca de patrones inusuales. Las credenciales SIP robadas suelen terminar en fraude telefónico.
4. Verifique Openwave Webtop. Si lo usa para mensajería, actualice el Media Transcoder a la versión 1.1.22.0 o posterior.

¿Por qué invertir en proteger la telefonía en la nube en lugar de esperar el próximo aviso? Porque la voz ya es un sistema de datos. Una PBX en la nube y un centro de contacto modernos contienen el directorio de la empresa, grabaciones de llamadas, números de clientes, registros de facturación y credenciales que abren otras puertas. Protegerlos aporta beneficios medibles:

• Datos de clientes protegidos. Los registros de suscriptores y de llamadas son datos personales según el RGPD, la LGPD de Brasil y la ley de protección de datos de Colombia. Evitar su robo ahorra costos de notificación, multas y daño reputacional.
• Menor riesgo de fraude telefónico. Los controles antifraude y la higiene de credenciales impiden que los atacantes conviertan cuentas SIP robadas en miles de dólares de llamadas internacionales en un solo fin de semana.
• Continuidad del negocio. Las plataformas actualizadas y segmentadas tienen muchas menos probabilidades de requerir apagados de emergencia que dejen sin teléfono a los equipos de ventas y soporte.
• Responsabilidad del proveedor. Los requisitos de seguridad claros en los contratos de telefonía, como plazos de parcheo, exposición de interfaces y notificación de incidentes, convierten el riesgo del proveedor en algo que se puede medir y auditar.
• Detección más rápida. Enviar los registros de telefonía a un SOC permite detectar una intrusión como Operation Snowball en horas, no tras semanas de robo silencioso de datos.

Las organizaciones más afectadas por ataques en la capa del proveedor son las que tratan la telefonía como un servicio básico. Las que salen bien libradas la tratan como parte de su perímetro de seguridad.

HIT Communications opera servicios empresariales de telecomunicaciones y TI desde hace más de 30 años en América Latina, Estados Unidos y Europa, por lo que conocemos ambos lados de este problema: la plataforma del operador y la empresa que depende de ella.

Nuestros servicios de PBX en la nube y centro de contacto y de troncales SIP y tráfico de voz se construyen con controles de seguridad desde el primer día, incluidos interfaces de gestión restringidas, autenticación SIP robusta, límites antifraude por destino y parcheo continuo de la capa de plataforma. Respondemos por escrito las preguntas de este artículo, a cada cliente.

Nuestros servicios gestionados de ciberseguridad, con SOC, SIEM y MDR, monitorean las 24 horas los registros de telefonía y de red en busca de los indicadores descritos, desde solicitudes XML maliciosas hasta herramientas de túnel y patrones de llamadas anómalos. Y como HIT también diseña y opera redes empresariales, podemos segmentar el tráfico de voz y proteger el acceso de gestión en todas las sedes mediante SD-WAN y conectividad gestionada.

El resultado es un único socio responsable de voz, red y seguridad, en lugar de un proveedor en el que solo puede confiar a ciegas.

CVE-2026-20320 demuestra que un parche de hace tres meses puede convertirse en una brecha cuando un proveedor no lo aplica. Los atacantes usaron una falla XXE de Cisco BroadWorks para llegar a un operador de telecomunicaciones y a los clientes empresariales alojados en su plataforma, y CISA ya la clasifica como explotada activamente. Los operadores deben parchear, restringir y buscar compromisos esta misma semana. Las empresas deben hacer preguntas directas a sus proveedores, rotar credenciales y activar controles antifraude.

Si no tiene claro cómo está protegido su sistema telefónico en la nube, o quiere una plataforma de telefonía donde la seguridad forme parte del servicio, contacte hoy a HIT Communications. Nuestros especialistas pueden revisar su exposición en voz y UCaaS y recomendarle un camino seguro.