ב-10 בנובמבר 2026 הוסיפה CISA לקטלוג KEV שתי פגיעויות עם ראיות לניצול פעיל, אחת ב-Cisco BroadWorks ואחת ב-Openwave Messaging Webtop Media Transcoder. התיקונים כבר זמינים.
| מזהה | CVE-2026-20320 · CVE-2026-111793 |
|---|---|
| מוצר | Cisco BroadWorks (מנתח OCI XML) · Openwave Messaging Webtop Media Transcoder; גרסאות מושפעות: לא פורסם |
| חומרה | חמורה, CVSS 7.5 · בינונית, CVSS 4.3 |
| מנוצל בפועל | כן, לפי KEV; שיטת הניצול והתוקף לא פורסמו |
| סטטוס תיקון | תוקן באוגוסט 2026 · תוקן באוקטובר 2026 |
מה קרה
הפגיעות ב-BroadWorks היא XXE שמאפשרת לתוקף לא מאומת מרחוק לקרוא מידע תצורה רגיש בהרשאות משתמש BroadWorks. הפגיעות ב-Openwave דורשת משתמש מאומת, והיא גורמת לרכיב לעבד ולהמיר סוגי מסמכים שלא היו אמורים לעבור דרכו.
לפי The Hacker News, Cisco לא מזכירה ניצול בהודעה שלה, ו-CISA לא פירטה את אופן התקיפה. סוכנויות פדרליות נדרשות לתקן עד 24 בנובמבר 2026.
נקודות לשים לב
- אם אתה מפעיל BroadWorks, ודא שהותקן עדכון מאוגוסט 2026 ואילך; זה חשוב גם אם הערכת שהמערכת מעודכנת, כי הניצול מתועד אחרי פרסום התיקון.
- ב-Openwave Webtop הנדרש הוא עדכון מאוקטובר 2026 ואילך.
- מידע תצורה שנחשף דרך XXE עלול לשמש להמשך תקיפה, ולכן שקול להחליף סודות בתצורה אם אתה חושד בחשיפה.
- מספרי גרסאות מדויקים לא פורסמו בסיקור; השווה מול ה-advisory של Cisco.
מקורות: The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
