CISA cảnh báo lỗ hổng Cisco BroadWorks đang bị khai thác, một nhà mạng châu Âu đã bị tấn công

Ngày 10/11/2026 (giờ Mỹ), Cơ quan An ninh mạng và Hạ tầng Mỹ (CISA) đưa lỗ hổng CVE-2026-20320 trong Cisco BroadWorks vào danh mục lỗ hổng đang bị khai thác (KEV) và yêu cầu các cơ quan liên bang dân sự khắc phục trước ngày 24/11. Lỗ hổng có mức nghiêm trọng cao, cho phép kẻ tấn công từ xa, không cần xác thực, đọc thông tin cấu hình nhạy cảm trên hệ thống. Cisco đã phát hành bản vá từ tháng 8.

BroadWorks và bản chất lỗ hổng

Cisco BroadWorks là nền tảng truyền thông hợp nhất (UC) trên đám mây, được các nhà mạng và nhà cung cấp dịch vụ quản lý (MSP) dùng để cung cấp tổng đài cloud PBX, thoại và cộng tác mang thương hiệu riêng cho khách hàng doanh nghiệp. Nói cách khác, một hệ thống BroadWorks có thể phục vụ hàng loạt tổng đài của nhiều doanh nghiệp cùng lúc.

CVE-2026-20320 là lỗi XML External Entity (XXE) trong bộ phân tích XML của Open Client Interface (OCI). Theo Cisco, bộ phân tích cho phép phân giải thực thể bên ngoài theo mặc định, nên kẻ tấn công chỉ cần gửi một thông điệp XML được chế tạo tới dịch vụ OCI-P (Provisioning) là có thể khiến máy chủ đọc tệp tùy ý trên hệ thống.

Cuộc tấn công vào một nhà mạng châu Âu

CISA không công bố chi tiết vụ khai thác, nhưng hãng tình báo mối đe dọa Malbear Labs cho biết một nhóm tấn công nói tiếng Trung đã dùng lỗ hổng này, với sự hỗ trợ của một mô hình AI bị bẻ khoá, để tấn công một nhà cung cấp viễn thông châu Âu và 13 tổ chức sử dụng trung tâm dữ liệu, hạ tầng đám mây của nhà mạng đó. Mục tiêu là máy chủ BroadWorks XSP (eXtended Services Platform). Malbear Labs cũng phát hiện máy chủ Provisioning, nơi lưu cấu hình thuê bao của toàn bộ người dùng, bị lộ qua một trang liệt kê thư mục không cần xác thực.

Theo Malbear Labs, một yêu cầu OCI được chế tạo gửi tới cổng 2208 đủ để đọc tệp trên máy chủ. Từ máy XSP, kẻ tấn công lấy được khoá riêng định danh hệ thống, ba bộ thông tin SSL và ba khoá riêng khác. Khoá định danh hệ thống được dùng để các thành phần BroadWorks xác thực lẫn nhau, nên nắm được nó đồng nghĩa có thể mạo danh XSP trong liên lạc nội bộ của nền tảng.

CISA khuyến nghị cả khu vực tư nhân ưu tiên vá các lỗ hổng trong danh mục KEV. Từ tháng 11/2021 đến nay, CISA đã đưa 103 lỗ hổng của Cisco vào danh mục này, 7 trong số đó từng bị các nhóm ransomware lợi dụng.

Góc nhìn NTEK

Vụ việc cho thấy hệ thống thoại và tổng đài không còn là "góc khuất" an toàn. Một lỗi đọc tệp trên nền tảng thoại có thể dẫn tới mất khoá riêng, chứng chỉ và dữ liệu cấu hình của nhiều khách hàng cùng lúc. Các nhà mạng, nhà cung cấp dịch vụ tổng đài đám mây tại Việt Nam đang dùng BroadWorks cần kiểm tra ngay phiên bản, áp bản vá của Cisco, chặn truy cập cổng OCI-P từ Internet và rà soát các trang quản trị có thể bị lộ.

Với doanh nghiệp thuê tổng đài cloud, nên hỏi nhà cung cấp về tình trạng vá lỗi, đồng thời bảo đảm tổng đài IP nội bộ được tách mạng, giới hạn giao diện quản trị và theo dõi nhật ký truy cập. Nếu nghi ngờ bị xâm nhập, cần thay khoá và chứng chỉ chứ không chỉ cài bản vá.

Nguồn: BleepingComputer