脅威アクターがOpenwaveとCisco BroadWorksの脆弱性を悪用

脅威アクターが、Openwave Webtop Media TranscoderとCisco BroadWorksに存在する2件の脆弱性を悪用し、機密情報に不正アクセスしています。

Openwave Messagingは、通信サービス事業者向けにウェブメールなどのメール・メッセージングプラットフォームを提供しています。Webtop Media Transcoderはドキュメント変換を担うコンポーネントで、Openwaveのアドバイザリによると、同社のウェブメールと関連しています。

Webtop Media Transcoderの脆弱性はCVE-2026-111793として追跡されています。管理者が定義したファイルタイプの制限が適用されないため、本来許可されていない種類のファイルも変換できてしまうことが原因です。

Openwave Messagingはアドバイザリで、「ウェブメールの画面を経由せずに操作した場合、認証済みのユーザーが想定外の種類のドキュメントを処理・変換できる可能性があります」と説明しています。

修正パッチは、2021年12月にリリースされたWebtop Media Transcoderのバージョン1.1.22.0に含まれています。このセキュリティ上の欠陥は10月7日に公表され、CVEレコードは10月16日に公開されました。

日本のJVNは11月9日、この脆弱性が悪用されていると指摘しました。認証済みの攻撃者が特別に細工したファイルをアップロードし、機密情報を入手できる恐れがあると警告しています。

Cisco BroadWorksの脆弱性はCVE-2026-20320として追跡されています。8月19日に公表されたこの問題は、アウトオブバンド型のブラインドXML外部エンティティ（XXE）インジェクションです。認証なしでリモートから悪用でき、機密性の高い設定情報を読み取られる恐れがあります。

Ciscoはアドバイザリで、「この脆弱性は、外部エンティティの解決がデフォルトで許可されているため、XMLエントリが不適切にパースされることに起因します。攻撃者は、細工したXMLメッセージをOpen Client Interface – Provisioning（OCI-P）サービスに送信することで、この脆弱性を悪用できる可能性があります」と説明しています。

この問題に対するパッチは、BroadWorks Application Delivery Platform、Application Server、Profile Server、Xtended Services Platformのバージョン RI.2026.07に含まれています。

Malbear Labsは11月8日、警告を発しました。中国語を話す脅威アクターがこの脆弱性を悪用し、自律型AI侵入ハーネスを用いた大規模なキャンペーンで、欧州の通信事業者とその顧客を標的にしていたということです。

この通信事業者のサービスを利用する少なくとも13組織が標的になった可能性があります。キャンペーンは、資産の列挙、認証情報の窃取、加入者の課金データや端末記録の収集に重点を置いていました。

米サイバーセキュリティ機関のCISAは11月10日、OpenwaveとCiscoの2件の脆弱性を既知の悪用された脆弱性（KEV）カタログに追加しました。連邦政府機関には、11月24日までに両方のパッチを適用するよう求めています。

CISAはあわせて、KEVリストにBarracudaの2件の脆弱性、火曜日にパッチが公開されたOutlookのゼロデイ脆弱性、そしてゼロデイとして11月9日に修正されたChromeの脆弱性を追加しています。