Cisco BroadWorks CVE-2026-20320 explorada: proteja sua telefonia em nuvem

Como funciona o ataque XXE contra o BroadWorks? A interface OCI aceita requisições XML. Um parser vulnerável processa as "entidades externas" definidas dentro desse XML, e assim um atacante sem autenticação pode enviar uma requisição manipulada que faz o servidor ler arquivos locais e devolvê-los. Dependendo da fonte, o impacto é descrito como a leitura de informações de configuração sensíveis ou de arquivos sensíveis do sistema, com os privilégios do serviço BroadWorks. Em uma plataforma de telefonia, isso pode incluir credenciais, chaves e dados de assinantes.

Segundo pesquisa da Malbear Labs, divulgada pelo The Hacker News, a falha foi usada em uma campanha que os pesquisadores chamam de "Operation Snowball". As conclusões:

• Um ator não identificado, de língua chinesa, operou um framework de ataque autônomo com IA construído sobre um modelo de linguagem desbloqueado (jailbreak).
• O alvo foi uma operadora de telecomunicações europeia e 13 empresas hospedadas em sua infraestrutura.
• Em cerca de duas semanas, os atacantes mapearam centenas de ativos, extraíram dezenas de conjuntos de credenciais e exfiltraram milhares de linhas de registros de faturamento e de dispositivos de assinantes.
• O principal ponto de entrada foi um servidor BroadWorks XSP na porta 2208, e em seguida os atacantes implantaram as ferramentas Sliver e Chisel e web shells Behinder.

São afirmações dos pesquisadores, ainda sem confirmação independente, mas o padrão é claro. Uma única operadora sem patches expôs de uma vez treze de seus clientes corporativos. Esses clientes não fizeram nada de errado em suas próprias redes. Esse é o desafio central da segurança da telefonia em nuvem: o seu risco depende dos patches, da segmentação e do monitoramento da operadora, e a maioria dos contratos não dá visibilidade sobre nada disso.

A resposta certa depende de você operar o BroadWorks ou contratar serviços construídos sobre ele. Os dois grupos têm tarefas nesta semana.

Se você opera o BroadWorks (operadoras, revendas, grandes empresas):

1. Aplique já a versão corrigida da Cisco. Consulte o aviso da Cisco para identificar a versão que corrige a CVE-2026-20320 na sua linha da plataforma e adote o prazo da CISA, 24 de novembro, como seu.
2. Tire as interfaces OCI e XSP da internet. Restrinja portas como a 2208 a redes de gerenciamento e a sistemas de provisionamento conhecidos, atrás de firewall ou VPN.
3. Procure sinais de comprometimento. Revise os logs web e da OCI em busca de requisições XML com declarações DOCTYPE ou ENTITY e verifique os servidores XSP em busca de web shells, ferramentas de túnel desconhecidas e conexões de saída incomuns.
4. Troque os segredos. Diante de qualquer sinal de acesso, troque credenciais de administração e provisionamento, chaves de API, credenciais SIP e certificados TLS, não apenas senhas.

Se você contrata PABX em nuvem ou UCaaS de um provedor:

1. Pergunte por escrito ao provedor se a plataforma usa BroadWorks e se a correção de agosto de 2026 foi aplicada em todos os servidores.
2. Redefina as credenciais SIP e do portal de administradores e dispositivos se o provedor não der uma resposta clara.
3. Ative controles antifraude. Bloqueie ou limite chamadas internacionais e de tarifa premium e revise os registros de chamadas em busca de padrões incomuns. Credenciais SIP roubadas costumam terminar em fraude telefônica.
4. Verifique o Openwave Webtop. Se você o usa para mensageria, atualize o Media Transcoder para a versão 1.1.22.0 ou posterior.

Por que investir na proteção da telefonia em nuvem em vez de esperar o próximo alerta? Porque a voz já é um sistema de dados. Um PABX em nuvem e uma central de atendimento modernos guardam o diretório da empresa, gravações de chamadas, números de clientes, registros de faturamento e credenciais que abrem outras portas. Protegê-los traz benefícios mensuráveis:

• Dados de clientes protegidos. Registros de assinantes e de chamadas são dados pessoais segundo a LGPD, o GDPR e as leis de proteção de dados da América Latina. Evitar o roubo poupa custos de notificação, multas e danos à reputação.
• Menor risco de fraude telefônica. Controles antifraude e boa gestão de credenciais impedem que atacantes transformem contas SIP roubadas em milhares de dólares em ligações internacionais em um único fim de semana.
• Continuidade do negócio. Plataformas atualizadas e segmentadas têm muito menos chance de exigir desligamentos de emergência que deixam as equipes de vendas e suporte sem telefone.
• Responsabilidade do fornecedor. Requisitos de segurança claros nos contratos de telefonia, como prazos de patch, exposição de interfaces e notificação de incidentes, transformam o risco do provedor em algo que pode ser medido e auditado.
• Detecção mais rápida. Enviar os logs de telefonia para um SOC permite identificar uma invasão como a Operation Snowball em horas, e não depois de semanas de roubo silencioso de dados.

As organizações mais atingidas por ataques na camada do provedor são as que tratam a telefonia como um serviço básico. As que saem ilesas a tratam como parte do seu perímetro de segurança.

A HIT Communications opera serviços corporativos de telecomunicações e TI há mais de 30 anos na América Latina, nos Estados Unidos e na Europa, por isso conhecemos os dois lados deste problema: a plataforma da operadora e a empresa que depende dela.

Nossos serviços de PABX em nuvem e central de atendimento e de troncos SIP e tráfego de voz são construídos com controles de segurança desde o primeiro dia, incluindo interfaces de gerenciamento restritas, autenticação SIP forte, limites antifraude por destino e aplicação contínua de patches na camada da plataforma. Respondemos por escrito às perguntas deste artigo, para cada cliente.

Nossos serviços gerenciados de cibersegurança, com SOC, SIEM e MDR, monitoram 24 horas por dia os logs de telefonia e de rede em busca dos indicadores descritos, de requisições XML maliciosas a ferramentas de túnel e padrões anormais de chamadas. E como a HIT também projeta e opera redes corporativas, podemos segmentar o tráfego de voz e proteger o acesso de gerenciamento em todas as unidades por meio de SD-WAN e conectividade gerenciada.

O resultado é um único parceiro responsável por voz, rede e segurança, em vez de um provedor em que você só pode confiar no escuro.

A CVE-2026-20320 mostra que um patch de três meses atrás ainda pode virar uma invasão quando o provedor não o aplica. Atacantes usaram uma falha XXE do Cisco BroadWorks para chegar a uma operadora de telecomunicações e aos clientes corporativos hospedados em sua plataforma, e a CISA agora a classifica como explorada ativamente. Operadoras devem aplicar patches, restringir acessos e procurar sinais de invasão nesta semana. Empresas devem fazer perguntas diretas aos seus provedores, trocar credenciais e ativar controles antifraude.

Se você não sabe ao certo como o seu sistema de telefonia em nuvem está protegido, ou quer uma plataforma de telefonia em que a segurança faça parte do serviço, fale com a HIT Communications hoje mesmo. Nossos especialistas podem avaliar sua exposição em voz e UCaaS e recomendar um caminho seguro.