La CISA inscrit Cisco BroadWorks et un transcodeur Openwave parmi les failles exploitées

Le 10 novembre 2026, la Cybersecurity and Infrastructure Security Agency (CISA), l’agence américaine de cybersécurité, a ajouté six failles à son catalogue des vulnérabilités exploitées, dont Cisco BroadWorks (CVE-2026-20320) et le transcodeur Webtop d’Openwave Messaging (CVE-2026-111793).

Le catalogue, version 2026.11.10 publiée le 10 novembre à 19 h 03 UTC, sert de liste de priorité. Pour les agences civiles de l’exécutif fédéral, la directive opérationnelle contraignante BOD 26-04 fixe une date de traitement. La CISA invite aussi les autres organisations à traiter ces entrées en priorité. Aucune des six fiches ne mentionne une campagne de rançongiciel connue.

BroadWorks : lecture de fichiers sans compte, correctif d’août

Cisco a publié l’avis cisco-sa-bworks-xxe-uwUd7CEt le 19 août 2026 à 16 h 00 GMT. La faille, notée 7,5 sur l’échelle CVSS 3.1, vient de l’analyseur XML de l’Open Client Interface : la résolution d’entités externes est autorisée par défaut. Cisco décrit l’effet ainsi : une personne distante, sans identifiant, peut lire des fichiers sensibles avec les droits du compte qui fait tourner BroadWorks. Il n’existe pas de contournement.

La première version corrigée est RI.2026.07, pour toute version antérieure, sur quatre produits : Application Delivery Platform (le périmètre cité est l’Open Client Server et OCIOverSoap), Application Server, Profile Server et Xtended Services Platform. Le chercheur remercié est Sandesh M Gawai. En août, l’équipe de réponse de Cisco écrivait ne pas avoir connaissance d’une annonce publique ni d’un usage malveillant. L’inscription au catalogue, le 10 novembre, signifie que la CISA dispose désormais d’éléments d’exploitation.

La date indiquée pour les agences fédérales est le 24 novembre 2026. La fiche demande d’appliquer les consignes de l’éditeur, de tenir compte de l’exposition sur Internet et, le cas échéant, de vérifier si le système a été compromis avant le correctif.

Openwave : le correctif a cinq ans, l’exploitation est constatée maintenant

CVE-2026-111793 concerne Webtop Media Transcoder, d’Openwave Messaging Limited. Le score indiqué dans l’avis public CAN-2026-2032674 est 4,3, soit un niveau moyen. Un utilisateur déjà authentifié peut faire traiter des types de documents que l’administrateur avait exclus, s’il passe à côté de l’interface de messagerie web. Les versions antérieures à 1.1.22.0 sont concernées. Cette version corrigée est datée du 6 décembre 2021. La date de divulgation portée sur l’avis est le 7 octobre 2026.

L’échéance du catalogue est aussi le 24 novembre 2026. Le fait nouveau n’est pas la découverte d’un défaut hier : ce sont les installations restées en deçà d’un correctif publié il y a cinq ans, alors que la CISA estime la faille exploitée.

Quatre autres entrées, déjà écrites ici

Le même jour, la CISA a inscrit Outlook, CVE-2026-124194, avec la même échéance du 24 novembre, et Chrome, CVE-2026-125350, également au 24 novembre. Les deux failles Barracuda, CVE-2026-116606 et CVE-2026-111560, ont une échéance plus courte : le 13 novembre 2026. Leurs fiches indiquent qu’elles peuvent être enchaînées. Les articles déjà en ligne décrivent les correctifs ; le catalogue ajoute une date fédérale et confirme l’exploitation retenue par la CISA.

Pour BroadWorks, le geste utile est de comparer la version installée à RI.2026.07 et de mettre à jour si elle est antérieure. Pour Openwave, il s’agit de vérifier que Media Transcoder est au moins en 1.1.22.0, ou une version plus récente du Media Server 2.0 indiquée par l’éditeur. L’alerte de la CISA ne décrit pas les victimes ni le volume des attaques.

Sources

Alerte du 10 novembre 2026, CISA, six ajouts au catalogue.

Catalogue KEV, version 2026.11.10, fiches CVE-2026-20320, CVE-2026-111793, CVE-2026-124194, CVE-2026-125350, CVE-2026-116606 et CVE-2026-111560, dates d’échéance comprises.

Avis cisco-sa-bworks-xxe-uwUd7CEt, Cisco, publié le 19 août 2026.

Avis CAN-2026-2032674, Openwave Messaging, CVE-2026-111793.