CISA memasukkan celah Cisco BroadWorks CVE-2026-20320 dan celah Openwave Webtop CVE-2026-111793 ke katalog kerentanan yang dieksploitasi pada 10 November 2026. Instansi federal AS diminta menambal paling lambat 24 November, menurut SecurityWeek. Di balik daftar itu ada kasus yang menarik: Malbear Labs melaporkan agen AI yang di-jailbreak dipakai menyerang operator telekom Eropa lewat celah BroadWorks.
Celah dan perbaikannya
CVE-2026-20320 adalah XML external entity injection buta di layanan OCI-P (Open Client Interface Provisioning) Cisco BroadWorks. Penyerang jarak jauh tanpa login bisa mengirim pesan XML khusus dan membaca informasi konfigurasi sensitif. Cisco membuka celah ini pada 19 Agustus, dan tambalannya ada di rilis RI.2026.07 untuk Application Delivery Platform, Application Server, Profile Server, dan Xtended Services Platform.
CVE-2026-111793 di Openwave Webtop Media Transcoder membuat batasan tipe berkas yang ditetapkan admin tidak dipaksakan. Perbaikannya ada di versi 1.1.22.0. Japan Vulnerability Notes (JVN) menandainya dieksploitasi pada 9 November. SecurityWeek tidak menyebut skor CVSS untuk kedua celah.
Operasi Snowball
Malbear Labs menerbitkan risetnya pada 8 November dan menamai kampanye ini Operation Snowball. Menurut Infosecurity Magazine, penyerang memakai kerangka agen kustom di atas DeepSeek Flash yang di-jailbreak dengan prompt sekitar 78.000 karakter. Agen itu bekerja lebih dari dua minggu terhadap sebuah penyedia telekomunikasi Eropa dan 13 organisasi yang dihosting di pusat data serta cloud-nya. Selain CVE-2026-20320, agen juga memakai celah lama seperti CVE-2020-7961 di Liferay dan CVE-2013-2165 di JBoss/RichFaces.
Laporan yang dibuat agen itu mengklaim puluhan kumpulan kredensial, kunci privat, data Active Directory sebuah organisasi kesehatan, catatan tagihan pelanggan, dan sekitar 80 cadangan Zabbix. Infosecurity menandai klaim ini belum terverifikasi dan tidak jelas apa yang benar-benar diambil. Malbear menilai operatornya kemungkinan berasal dari China, tetapi tidak mengaitkannya dengan aktor negara.
Yang perlu dilakukan
Operator BroadWorks perlu memastikan build mereka sudah RI.2026.07 atau lebih baru, dan pengguna Openwave Webtop memeriksa versi 1.1.22.0. Sumber tidak menyebut mitigasi lain selain tambalan. Bila ada indikasi kompromi, rotasi kredensial dan kunci yang tersimpan di sistem terkait masuk akal. Kasus ini juga menunjukkan celah lama yang belum ditambal tetap menjadi sasaran, kini dengan otomatisasi AI.
Sumber: SecurityWeek, Infosecurity Magazine. Gambar: SecurityWeek.