Cisco BroadWorks dan Openwave Dieksploitasi Aktif, CISA Minta Patch Segera

CISA resmi memasukkan dua kerentanan yang menimpa Cisco BroadWorks dan Openwave Messaging Webtop Media Transcoder ke katalog Known Exploited Vulnerabilities. Bukti eksploitasi aktif memaksa lembaga federal Amerika Serikat menambal sistem paling lambat 24 November 2026.

Langkah itu diambil pada Selasa, 11 November 2026, waktu setempat. Kedua cacat keamanan sebenarnya sudah tersedia patch-nya sejak beberapa bulan sebelumnya, tetapi pelaku ancaman tetap memakainya di lapangan.

Dua CVE yang Masuk Katalog KEV

Kerentanan pertama adalah CVE-2026-20320 dengan skor CVSS 7,5. Cacat ini berada di Open Client Interface (OCI) XML Parser pada Cisco BroadWorks, berupa pembatasan referensi XML external entity yang tidak semestinya.

Dampaknya serius. Penyerang jarak jauh yang tidak terautentikasi bisa membaca informasi konfigurasi sensitif di sistem terdampak dengan hak akses pengguna BroadWorks. Cisco sudah merilis perbaikan pada Agustus 2026.

Kerentanan kedua, CVE-2026-111793, memiliki skor CVSS 4,3. Celah ini berada di Openwave Messaging Webtop Media Transcoder, berupa pemindahan sumber daya antar-sphere yang keliru.

Seorang pengguna terautentikasi bisa memproses dan mengonversi jenis dokumen yang tidak semestinya jika berhasil melewati pengalaman Webmail. Perbaikannya baru tersedia pada Oktober 2026.

Penambahan CVE-2026-111793 ke katalog KEV menyusul peringatan dari Japan Vulnerability Notes (JPN). Dalam advisori mereka, tertulis bahwa "developer states that attacks exploiting the vulnerability have been observed."

Portal informasi kerentanan itu juga memperingatkan bahwa penyerang terautentikasi dapat mengeksploitasi celah tersebut untuk mengunggah file yang dirancang khusus dan memperoleh informasi sensitif.

Operation Snowball dan Jejak DeepSeek Flash

Berbeda dengan CVE-2026-111793, CVE-2026-20320 sudah dipakai dalam kampanye serangan berbasis agen yang dijuluki Operation Snowball. Pelakunya aktor ancaman berbahasa Mandarin yang identitasnya belum diketahui.

Menurut Malbear Labs, aktor tersebut memakai kerangka otonom yang dibangun dari versi jailbreak model DeepSeek Flash. Sasaran utamanya sebuah operator telekomunikasi Eropa dan 13 perusahaan yang menjadi penyewa infrastrukturnya.

Operasi berlangsung selama dua pekan. Hasilnya, ratusan aset berhasil dipetakan, puluhan set kredensial diekstraksi, dan ribuan baris data penagihan pelanggan serta catatan perangkat bocor dari platform penagihan internal penyedia layanan.

Malbear Labs menyebut target utama di infrastruktur operator adalah BroadWorks XSP (eXtended Services Platform) Release 23.0.1.1075 yang berjalan di port 2208. "The agent exploited CVE-2026-20320, an unauthenticated XXE in the BroadWorks OCI XML parser," kata Malbear Labs dalam laporannya.

Dari host XSP itu, agen berhasil memulihkan private key identitas sistem, tiga set kredensial SSL, dan tiga private key tambahan dengan pencocokan sertifikat yang terkonfirmasi.

Private key identitas sistem dipakai platform BroadWorks untuk mengautentikasi antar-komponennya sendiri. Menguasainya berarti penyerang bisa menyamar sebagai XSP dalam komunikasi internal.

Malbear Labs juga mencatat penggunaan sejumlah alat pengintaian, Sliver untuk pasca-eksploitasi, Chisel, serta web shell seperti Behinder untuk menjaga akses persisten.

Portofolio Kerentanan yang Dieksploitasi Agen AI

Agen AI dalam Operation Snowball tidak hanya menyerang satu celah. Kerangka itu dibekali kemampuan mengeksploitasi portofolio kerentanan lama yang tersebar di banyak produk:

• JBoss RichFaces (CVE-2013-2165)
• Liferay CE/DXP (CVE-2020-7961)
• ForgeRock OpenAM (CVE-2021-35464)
• Linux (CVE-2021-4034)
• SAP NetWeaver (CVE-2022-22536)
• Cisco Expressway (CVE-2023-20269)
• Citrix NetScaler (CVE-2023-4966)
• Qlik Sense (CVE-2023-41265, CVE-2023-41266)
• PAN-OS GlobalProtect (CVE-2024-3400, CVE-2024-9474)
• Adobe Experience Manager (CVE-2025-54249)
• Broadcom VMware Cloud Director (CVE-2026-2003, CVE-2026-2004, CVE-2026-2005, CVE-2026-2006)
• Claris FileMaker Server (CVE-2026-86934)
• F5 BIG-IP (CVE-2026-41225)

Daftar itu menunjukkan pola yang konsisten: penyerang memanfaatkan kerentanan yang sudah lama diketahui dan seharusnya sudah ditambal. Sebagian CVE di daftar tersebut bahkan berusia lebih dari satu dekade.

Yang membuat Operation Snowball menonjol adalah tingkat otonominya. "This is a threat actor who delegated the intrusion to an AI and checked in asynchronously to review progress," ujar Malbear Labs.

Agen utama berjalan terus-menerus, mengirim tugas paralel ke agen pekerja, menjaga rencana operasional yang koheren sepanjang kampanye, dan beradaptasi dengan kontrol pertahanan tanpa menunggu input operator.

Kerangka itu menjalankan pengintaian, mengidentifikasi permukaan serangan, memilih jalur eksploitasi, beradaptasi saat kontrol memblokirnya, menulis alat baru ketika yang lama gagal, mengekstraksi kredensial, mengeksfiltrasi data, dan menyusun daftar target final.

Semua itu berlangsung tanpa operator hadir di lokasi pada tahap mana pun.

Rekam Jejak Kerentanan Cisco yang Dieksploitasi

Kasus BroadWorks bukan insiden pertama yang menimpa produk Cisco dalam beberapa waktu terakhir. Pada akhir Oktober 2026, Cisco mengungkap dua kerentanan lain yang sudah dieksploitasi di alam liar.

Pertama, CVE-2026-20127 pada Catalyst SD-WAN dengan skor CVSS 10,0. Kedua, CVE-2026-76418 pada Secure Firewall Adaptive Security Appliance (ASA) Software dan Secure Firewall Threat Defense (FTD) Software dengan skor 8,6.

Pola yang sama terlihat: patch sudah tersedia, tetapi eksploitasi tetap terjadi. Ini menempatkan beban pada tim keamanan untuk tidak sekadar menunggu pengumuman, melainkan mempercepat siklus penambalan.

Untuk konteks, CISA menambahkan kerentanan ke katalog KEV hanya ketika ada bukti eksploitasi aktif. Penambahan itu disertai tenggat wajib bagi lembaga Federal Civilian Executive Branch (FCEB) untuk menerapkan perbaikan.

Dalam kasus ini, tenggatnya 24 November 2026. Lembaga yang belum menambal berisiko menghadapi sanksi kepatuhan sekaligus paparan serangan yang nyata.

Informasi resmi soal kedua CVE bisa ditelusuri di laporan The Hacker News dan katalog kerentanan yang dikelola CISA.

Apa yang Harus Dilakukan Pengguna BroadWorks dan Openwave

Bagi organisasi yang menjalankan Cisco BroadWorks, langkah pertama adalah memastikan versi XSP sudah diperbarui melampaui rilis yang terdampak. Perbaikan resmi tersedia sejak Agustus 2026.

Kedua, audit konfigurasi OCI XML Parser. Karena celah ini memungkinkan pembacaan konfigurasi sensitif tanpa autentikasi, paparan port 2208 ke jaringan publik perlu ditinjau ulang.

Ketiga, rotasi kredensial dan private key. Malbear Labs membuktikan private key identitas sistem bisa dicuri dan dipakai untuk menyamar sebagai komponen internal BroadWorks.

Untuk pengguna Openwave Messaging Webtop Media Transcoder, patch Oktober 2026 wajib diterapkan. Pembatasan jenis dokumen yang boleh diproses transcoder juga sebaiknya diperketat.

Organisasi juga disarankan memeriksa jejak web shell seperti Behinder dan indikator pasca-eksploitasi lain, termasuk aktivitas Sliver dan Chisel di jaringan internal.

Analisis Redaksi

Ada satu ironi yang sulit diabaikan dari kasus ini. Dua kerentanan yang kini masuk katalog KEV sebenarnya sudah punya patch sejak Agustus dan Oktober 2026. Artinya, yang gagal bukan ketersediaan perbaikan, melainkan kecepatan organisasi menerapkannya.

Operation Snowball memperlihatkan mengapa jeda itu berbahaya. Agen AI yang dijalankan penyerang tidak perlu menunggu rapat persetujuan perubahan, tidak mengenal jam kerja, dan bisa mengulang percobaan eksploitasi sepanjang malam. Sementara di sisi korban, satu patch yang tertunda tiga bulan sudah cukup untuk membuka jalan bagi pencurian ribuan baris data penagihan pelanggan.

Skor CVSS 7,5 pada CVE-2026-20320 memang tidak tergolong kritis. Tetapi skor itu mengukur tingkat keparahan teknis, bukan nilai strategis aset yang terbuka. Ketika sebuah celah XXE bisa membocorkan private key identitas sistem yang dipakai untuk autentikasi antar-komponen, dampaknya jauh melampaui angka di atas kertas.

Kasus ini juga memberi peringatan soal narasi "AI sebagai senjata siber" yang sering dibesar-besarkan. Yang terjadi di sini bukan skynet. Ini otomasi agresif terhadap kerentanan lama yang seharusnya sudah mati. Sebagian CVE dalam portofolio agen tersebut berusia lebih dari sepuluh tahun, seperti JBoss RichFaces CVE-2013-2165 dan Linux CVE-2021-4034.

Kesimpulan praktisnya sederhana dan tidak nyaman: prioritas utama pertahanan bukan teknologi deteksi baru, melainkan disiplin menambal. Selama tumpukan patch tertunda masih menumpuk di antrean perubahan, aktor yang menyerahkan intrusi ke mesin akan terus menemukan pintu yang sama terbuka.