A Agência de Segurança Cibernética e de Infraestrutura (CISA) dos Estados Unidos adicionou nesta terça-feira duas falhas de segurança que afetam o Cisco BroadWorks e o Openwave Messaging Webtop Media Transcoder ao seu catálogo de Vulnerabilidades Exploradas Conhecidas (KEV), citando evidências de exploração ativa.
Os detalhes das vulnerabilidades, identificadas pelo código CVE (Common Vulnerabilities and Exposures), estão listados abaixo:
- CVE-2026-20320 (pontuação CVSS, do inglês Common Vulnerability Scoring System, ou sistema de pontuação de vulnerabilidades: 7,5) - Uma restrição imprópria de referência a entidade externa XML (XXE) no analisador XML da Open Client Interface (OCI) do Cisco BroadWorks pode permitir que um atacante remoto e não autenticado leia informações sensíveis de configuração de um sistema afetado, com os privilégios do usuário do Cisco BroadWorks. (Corrigida em agosto de 2026)
- CVE-2026-111793 (pontuação CVSS: 4,3) - Uma transferência incorreta de recursos entre esferas no Openwave Messaging Webtop Media Transcoder pode permitir que um usuário autenticado processe e converta tipos de documentos não previstos, caso contorne a experiência do Webmail. (Corrigida em outubro de 2026)
A inclusão da CVE-2026-111793 no catálogo KEV ocorre após um alerta emitido pela Japan Vulnerability Notes (JVN), que informou em comunicado que o « desenvolvedor afirma que ataques explorando a vulnerabilidade foram observados ».
O portal de informações sobre vulnerabilidades também alertou que um atacante autenticado poderia explorar a falha para enviar um arquivo especialmente elaborado e obter informações sensíveis.
Já a CVE-2026-20320 foi usada em uma campanha de ataque agêntico batizada de Operation Snowball, na qual um ator de ameaça não identificado, de língua chinesa, utilizou uma estrutura autônoma criada com uma versão sem restrições (jailbreak) do modelo DeepSeek Flash para atingir um provedor europeu de telecomunicações e 13 empresas hospedadas em sua infraestrutura.
A atividade resultou na enumeração de centenas de ativos, na extração de dezenas de conjuntos de credenciais e na exfiltração de milhares de linhas de registros de cobrança e de dispositivos de assinantes, a partir da plataforma interna de faturamento do provedor, ao longo de um período de duas semanas, segundo a Malbear Labs.
O agente de IA tem capacidade de explorar um conjunto de vulnerabilidades conhecidas em uma ampla gama de produtos, incluindo:
- JBoss RichFaces (CVE-2013-2165)
- Liferay CE/DXP (CVE-2020-7961)
- ForgeRock OpenAM (CVE-2021-35464)
- Linux (CVE-2021-4034)
- SAP NetWeaver (CVE-2022-22536)
- Cisco Expressway (CVE-2023-20269)
- Citrix NetScaler (CVE-2023-4966)
- Qlik Sense (CVE-2023-41265, CVE-2023-41266)
- PAN-OS GlobalProtect (CVE-2024-3400, CVE-2024-9474)
- Adobe Experience Manager (CVE-2025-54249)
- Broadcom VMware Cloud Director (CVE-2026-2003, CVE-2026-2004, CVE-2026-2005, CVE-2026-2006)
- Claris FileMaker Server (CVE-2026-86934) e
- F5 BIG-IP (CVE-2026-41225)
« O principal alvo na infraestrutura do provedor de telecomunicações era o BroadWorks XSP (eXtended Services Platform), versão 23.0.1.1075, executado na porta 2208 », afirmou a Malbear Labs. « O agente explorou a CVE-2026-20320, um XXE não autenticado no analisador XML OCI do BroadWorks. »
« A partir do host XSP, o agente recuperou a chave privada de identidade do sistema, três conjuntos de credenciais SSL (Secure Sockets Layer) e três chaves privadas adicionais, com correspondências de certificados confirmadas. A chave de identidade do sistema é usada pela plataforma BroadWorks para autenticar a comunicação entre seus próprios componentes; possuí-la permite se passar pelo XSP na comunicação entre componentes. »
A atividade também foi marcada pelo uso de ferramentas de reconhecimento, do Sliver para pós-exploração, do Chisel e de web shells como o Behinder, para acesso persistente.
« Trata-se de um ator de ameaça que delegou a invasão a uma IA e verificou o andamento de forma assíncrona », acrescentou a Malbear Labs. O agente principal funcionou continuamente, emitiu tarefas paralelas para agentes de apoio, manteve um plano operacional coerente ao longo de toda a campanha e se adaptou a controles defensivos sem pausar para aguardar a intervenção de um operador. »
« A estrutura do agente executou o reconhecimento, identificou a superfície de ataque, escolheu o caminho de exploração, adaptou-se quando os controles o bloquearam, escreveu novas ferramentas quando as existentes falharam, extraiu credenciais, exfiltrou dados e compilou uma lista final de alvos, tudo isso sem a presença do operador em nenhum momento. »
No fim do mês passado, a Cisco revelou que duas vulnerabilidades diferentes, uma no Catalyst SD-WAN (CVE-2026-20127, pontuação CVSS: 10,0) e outra no Secure Firewall Adaptive Security Appliance (ASA) Software e no Secure Firewall Threat Defense (FTD) Software (CVE-2026-76418, pontuação CVSS: 8,6), foram exploradas ativamente na natureza.
Diante da exploração ativa, recomenda-se que as agências do Poder Executivo Civil Federal dos Estados Unidos (FCEB, na sigla em inglês) apliquem as correções até 24 de novembro de 2026, para proteger suas redes.
