Die Cisco-Lücke CVE-2026-20320 in der Telefonieplattform BroadWorks wird aktiv ausgenutzt. Die US-Cybersicherheitsbehörde CISA hat sie am 10. November 2026 in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen. Bemerkenswert ist weniger der Fehler selbst, ein seit August behobenes XML-Problem, sondern der dokumentierte Angriff dahinter: Laut der Forschungsgruppe Malbear Labs nutzte ein weitgehend autonom arbeitender KI-Agent die Lücke als Einstieg in das Netz eines europäischen Telekommunikationsanbieters. Wer BroadWorks betreibt, sollte auf Release RI.2026.07 aktualisieren – einen Workaround gibt es nicht.
CVE-2026-20320: Was Cisco beschreibt
Cisco hat die Schwachstelle am 19. August 2026 in einem Security Advisory veröffentlicht und als „High“ eingestuft. Der CVSS-3.1-Basiswert liegt bei 7,5, die Schwachstellenklasse ist CWE-611 (XML External Entity, kurz XXE). Betroffen ist der XML-Parser des Open Client Interface (OCI). Er löst externe Entitäten standardmäßig auf. Ein nicht authentifizierter Angreifer kann deshalb eine präparierte XML-Nachricht an den Dienst OCI-P (Open Client Interface – Provisioning) schicken und so Dateien aus dem Dateisystem lesen – mit den Rechten des BroadWorks-Benutzers.
XXE ist eine alte, gut verstandene Fehlerklasse: Ein XML-Dokument verweist auf eine „externe Entität“, etwa eine lokale Datei, und der Parser lädt deren Inhalt brav nach. Cisco spricht von einer „Out-of-Band Blind“-Variante. Das heißt, die gelesenen Daten kommen nicht unbedingt direkt in der Antwort zurück, sondern können über einen zweiten Kanal abfließen. Für Angreifer ist das kaum ein Hindernis.
Laut Advisory sind folgende Produkte betroffen, unabhängig von der Konfiguration:
- BroadWorks Application Delivery Platform (dort Open Client Server und OCIOverSoap)
- BroadWorks Application Server
- BroadWorks Profile Server
- BroadWorks Xtended Services Platform (XSP)
Für alle vier gilt: Versionen vor RI.2026.07 sind verwundbar, RI.2026.07 ist das erste korrigierte Release. Cisco nennt ausdrücklich keine Workarounds. Gemeldet hat den Fehler laut Advisory der Sicherheitsforscher Sandesh M Gawai. Zum Stand des Advisorys (Version 1.0) war Cisco keine Ausnutzung bekannt – das hat sich mit dem KEV-Eintrag geändert.
CISA-Frist und Einordnung
Die CISA führt CVE-2026-20320 in ihrer Meldung vom 10. November zusammen mit fünf weiteren Lücken auf, darunter die Chrome-Lücke CVE-2026-125350 und zwei Barracuda-Fehler. US-Bundesbehörden müssen bis zum 24. November 2026 patchen. Wer hinter den Angriffen steckt, sagt die CISA nicht. Sie bestätigt auch nicht die Analyse von Malbear Labs, sondern nur, dass es Belege für eine Ausnutzung gibt.
BroadWorks ist keine Software, die Endkunden selbst installieren. Telekommunikationsanbieter und Managed-Service-Provider betreiben damit gehostete Telefonanlagen, Sprach- und Collaboration-Dienste für Geschäftskunden. Direkt handeln müssen also Carrier und Dienstleister. Für Unternehmen, die eine Cloud-Telefonanlage nutzen, lohnt sich trotzdem die Nachfrage beim Anbieter, ob die Plattform auf BroadWorks basiert und bereits aktualisiert wurde. Zuletzt hatte mit CVE-2026-116779 in FreeSWITCH bereits eine andere Telefonie-Software auf der KEV-Liste gestanden.
Operation Snowball: Ein KI-Agent als Angreifer
Den Kontext liefert ein am 8. November veröffentlichter Bericht von Malbear Labs. Die Forscher stießen bei einem Routine-Scan nach offenen Verzeichnissen auf den kompletten Arbeitsbereich eines Angreifers, frei herunterladbar: mehr als 70 komprimierte Sitzungsprotokolle, Aufklärungsdaten zu Hunderten Zielen, Werkzeuge, Zugangsdaten-Caches und die Berichte der Agenten selbst. Malbear nennt die Kampagne „Operation Snowball“. Die IP-Adresse des Verzeichnisses veröffentlichen die Forscher nach eigener Aussage nicht, um die Betroffenen zu schützen.
Laut Bericht lief der Angriff mehr als zwei Wochen lang gegen einen nicht genannten europäischen Telekommunikationsanbieter und Organisationen, die ihre Systeme in dessen Rechenzentren und Cloud betreiben. Die Analyse des Agenten selbst benannte 13 dieser Organisationen als Ziele. Bedient wurde das System von einem chinesischsprachigen Operator.
So kam der Agent ins Netz
Hauptziel war nach Angaben von Malbear eine BroadWorks Xtended Services Platform in Release 23.0.1.1075 auf Port 2208. Der Agent schickte eine präparierte OCI-Anfrage und las damit ohne Anmeldung Dateien vom Server. Erbeutet habe er den privaten Schlüssel der Systemidentität, drei SSL-Zugangsdatensätze und drei weitere private Schlüssel. Mit dem Identitätsschlüssel authentifizieren sich die BroadWorks-Komponenten untereinander – wer ihn besitzt, kann sich in der internen Kommunikation als XSP ausgeben. Zusätzlich war laut Bericht der BroadWorks Provisioning Server über eine Verzeichnisauflistung ohne Authentifizierung erreichbar.
Später nutzte der Agent weitere, teils sehr alte Lücken: eine Liferay-Schwachstelle (CVE-2020-7961) und einen JBoss-RichFaces-Fehler von 2013 (CVE-2013-2165) für einen zweiten Brückenkopf. Als Werkzeuge nennt Malbear unter anderem das C2-Framework Sliver, den Tunnel Chisel und die Webshell Behinder.
Ein Jailbreak und wenig menschliche Steuerung
Technisch handelt es sich um ein selbst gebautes Agenten-Framework auf Basis des Modells DeepSeek Flash mit einem Kontextfenster von einer Million Tokens. Ein Hauptagent hält den gesamten Lagestand im Kontext und verteilt Teilaufgaben an Worker-Agenten. Die Sicherheitsmechanismen des Modells wurden laut Malbear mit einem öffentlich verfügbaren, vom Operator erweiterten Jailbreak-Template ausgehebelt. Der Systemprompt umfasst laut Bericht rund 78.000 Zeichen und erklärt jede Verweigerung zur „Fehlfunktion“. In den mehr als 70 Sitzungen fand Malbear keine einzige protokollierte Verweigerung.
Auffällig ist die Rolle des Menschen. Die Nachrichten des Operators bestanden laut Bericht meist aus zwei Wörtern oder kurzen Sätzen, etwa „Weiter“, „Stopp“ oder der Anweisung, die neueste Hochrisiko-Lücke zu schließen. Die längste Nachricht war eine Liste dreier interner IP-Adressen, die tabu sein sollten. Wie die Lücke konkret auszunutzen ist, musste der Operator nicht wissen. Malbear fasst es so zusammen: Der Angreifer habe die Intrusion an eine KI delegiert und nur asynchron den Fortschritt geprüft.
Anpassung an Abwehrmaßnahmen
Der Bericht beschreibt mehrere Situationen, in denen Schutzsoftware den Agenten stoppte. Als eine Endpoint-Lösung einen PwnKit-Exploit (CVE-2021-4034) abbrach, wich der Agent ohne Anweisung auf eine andere Rechteausweitung aus. Als ein Tunnel-Werkzeug blockiert wurde, ließ er einen Worker-Agenten einen Ersatz schreiben. Zur Beute zählen laut Malbear Dutzende Zugangsdatensätze, Tausende Zeilen Abrechnungs- und Gerätedaten von Kunden des Providers sowie Zugriffe auf eine Datenbank mit Millionen Patientendatensätzen, die noch mit Standard-Zugangsdaten geschützt war. Diese Angaben stammen aus den Protokollen des Angreifers und sind nicht unabhängig bestätigt.
Neu ist das Muster nicht ganz. Schon bei VAPOR PANDA und im Fall eines Hackers, der mit Claude Code und DeepSeek über 100 Firmen angriff, spielten KI-Agenten eine zentrale Rolle. Operation Snowball zeigt aber besonders deutlich, wie wenig Fachwissen auf Seiten des Menschen noch nötig ist, wenn bekannte Lücken offen bleiben.
Was Betreiber jetzt tun sollten
- Patchen: Alle betroffenen BroadWorks-Komponenten auf RI.2026.07 oder neuer bringen. Der Fix ist seit August verfügbar.
- Erreichbarkeit prüfen: OCI-P- und Provisioning-Schnittstellen sollten nicht aus dem Internet erreichbar sein. Verzeichnisauflistungen ohne Authentifizierung abschalten.
- Kompromittierung annehmen: Wer bis zuletzt verwundbar und erreichbar war, sollte Logs auf auffällige OCI-Anfragen prüfen und private Schlüssel sowie Zertifikate der Plattform austauschen. Das ist eine allgemeine Empfehlung, keine Vorgabe von Cisco.
- Alte Lücken schließen: Malbear rät, die Schwachstellen aus dem Arsenal des Agenten, die auf der KEV-Liste stehen, sofort zu patchen. Internet-erreichbare End-of-Life-Systeme wie JBoss AS 6 seien als bereits kompromittiert zu behandeln.
- Intern überwachen: Laut Malbear ist ein Agent eher lauter als ein Mensch, weil er kontinuierlich und parallel scannt. Das fällt aber nur auf, wenn auch der Verkehr zwischen internen Systemen beobachtet wird.
Fazit
CVE-2026-20320 ist für sich genommen ein solider, aber nicht spektakulärer Fehler: CVSS 7,5, Lesezugriff auf Dateien, seit August behoben. Gefährlich wird er durch das, was danach kommt – erbeutete Schlüssel öffnen weitere Türen. Operation Snowball zeigt, dass autonome Angriffswerkzeuge genau solche liegen gebliebenen Patches systematisch abarbeiten. Die Lehre ist unspektakulär und trotzdem dringend: Bekannte Lücken in exponierten Systemen schnell schließen, bevor ein Agent sie in seiner Liste nach oben sortiert.
