BroadWorks: o que cobrar do provedor além de “atualizado”
Uma resposta sobre a plataforma inteira pode esconder componentes pendentes. Relacione cada serviço BroadWorks ao responsável, à versão instalada e ao teste de continuidade da telefonia.
Read in EnglishPor Pentesty
O sinal novo vem do catálogo de exploração
A CISA incluiu CVE-2026-20320 no KEV em 10 de novembro de 2026, com base em exploração ativa. O registro consultado indica 24 de novembro como prazo federal e classifica o uso em campanhas de ransomware como desconhecido. A obrigação federal não se transfere automaticamente a empresas brasileiras; use o sinal para definir prioridade conforme sua exposição.
O boletim Cisco, publicado em 19 de agosto, descreve XXE no parser XML do BroadWorks: uma mensagem ao OCI-P pode permitir leitura de arquivos por atacante remoto sem autenticação, com privilégios do usuário BroadWorks. Isso exige revisar o serviço de provisionamento, não apenas a disponibilidade de chamadas.
Exija uma resposta por componente
A Cisco lista Application Delivery Platform, Application Server, Profile Server e Xtended Services Platform. As tabelas apontam RI.2026.07 como primeira versão corrigida; a nota do primeiro componente abrange OCS e OCIOverSoap. O fabricante não oferece workaround. Consulte o boletim completo antes de selecionar a atualização adequada ao ambiente.
Monte uma matriz com uma linha por instância: componente, função, versão, responsável e integração atendida. Peça ao provedor que relacione o identificador do serviço contratado às linhas correspondentes. Uma declaração sobre o produto não demonstra, por si, que todas as instâncias usadas pelo cliente receberam a mudança.
Planeje a mudança junto da telefonia que precisa continuar
Antes da janela, escolha transações de teste com o responsável operacional: completar chamadas de entrada e saída, autenticar os clientes previstos e concluir uma alteração de provisionamento autorizada. Inclua os caminhos que fazem parte do contrato. Essa proposta de teste deve ser adaptada à arquitetura, sem executar comandos contra serviços de terceiros.
Registre a situação anterior, a mudança aprovada, o resultado por componente e os critérios de retorno. Combine quem decidirá interromper a janela se um teste falhar. A orientação sobre continuidade durante indisponibilidade de gerenciamento ajuda a separar o acesso administrativo da tarefa que o negócio precisa executar.
Trate exposição anterior como uma pergunta própria
A confirmação da versão corrigida responde ao estado atual do software. Para avaliar o período anterior, solicite quais instâncias atendiam o serviço, por onde o provisionamento era alcançável, que registros existem e por quanto tempo foram preservados. Diferencie uma ausência de evento detectado de uma conclusão limitada pela falta de registros.
Se a apuração identificar acesso indevido, a resposta deve considerar os arquivos e configurações efetivamente alcançados. Mudanças adicionais em segredos ou integrações precisam seguir esse escopo, com responsáveis e testes de continuidade. Não deduza comprometimento do seu ambiente apenas pela presença do CVE no catálogo.
Feche o chamado com dados que possam ser conferidos
Uma resposta útil termina com o serviço identificado, as instâncias tratadas e as perguntas ainda abertas. Preserve essa distinção quando o provedor enviar uma nova atualização ou mudar a plataforma por trás do contrato.
- Guarde o vínculo entre o serviço contratado e as instâncias verificadas. Anexe a evidência de versão e o horário da coleta, sem incluir configurações sensíveis desnecessárias.
- Associe cada resultado de teste ao componente alterado e ao responsável que o aprovou. Liste exceções, dependências pendentes e a data de revisão.
- Separe fatos do boletim, observações do ambiente e hipóteses de investigação. O texto sobre limites de agentes de IA trata de outro ângulo de pesquisa; ele não substitui a verificação desta correção.
Perguntas frequentes
Como evitar misturar o chamado com outra falha?
Registre produto, componente e identificador do boletim na solicitação. Uma declaração sobre outra plataforma não encerra o chamado; exija o vínculo com cada instância do serviço contratado.
Como definir o prazo interno de correção?
Registre a exposição, as dependências e o responsável pela decisão. Combine uma janela com critérios de continuidade e acompanhamento das exceções, sem tratar o prazo de outro contexto como obrigação automática.
É possível encerrar o chamado com a versão do produto?
Peça a versão por componente e sua ligação com o serviço contratado. Defina também o resultado esperado dos testes e quem aceita as exceções.
Qual evidência orienta a investigação local?
Defina o período, as instâncias e os registros disponíveis. Documente o que cada observação permite concluir e quais lacunas exigem apuração adicional antes de ampliar o escopo.
Fontes e referências
- Cisco: aviso BroadWorks
- CISA: catálogo KEV, registro CVE-2026-20320 consultado em 11 de novembro de 2026
- CISA: inclusão de seis vulnerabilidades no KEV em 10 de novembro de 2026
Análise original da Pentesty, publicada em 11 de novembro de 2026. Os cenários propostos são orientações editoriais, com escopo e validação a definir para cada ambiente.