CVE-2026-20320
Sfruttamento noto · CISA KEV
CVSS 7.5 HIGH: a vulnerability in the Open Client Interface (OCI) XML Parser of Cisco BroadWorks could allow an unauthenticated… EPSS 0.8% (58º percentile).
Data di correzione federale CISA 24 nov
Vulnerabilità ed exploit · Exploit zero-day
Microsoft Outlook, Cisco BroadWorks e Openwave Webtop sono coinvolti in tre vulnerabilità sfruttate attivamente: l’aggiornamento di novembre affianca alla falla Outlook due rischi distinti per i servizi telecom. Malbear Labs ha collegato lo sfruttamento di BroadWorks a una campagna contro un provider europeo e almeno 13 organizzazioni che ne usano i servizi.
Aprendo un file di messaggio manipolato, Outlook può collegarsi alla rete dell’attaccante senza mostrare l’avviso abituale e rivelare l’hash NTLMv2 dell’utente. BroadWorks può esporre da remoto informazioni di configurazione senza autenticazione; la falla di Webtop consente invece a un utente autenticato di aggirare i limiti sui tipi di documento convertibili. Le correzioni sono incluse in BroadWorks RI.2026.07 e Webtop 1.1.22.0. Per Outlook, le versioni corrette sono 16.0.14334.21048 per Office LTSC 2021 e 16.0.17932.21140 per Office LTSC 2024; la build di Microsoft 365 Apps varia in base al canale.
Per gli operatori telecom, correggere Outlook non copre le piattaforme che gestiscono messaggistica e dati degli abbonati. Anche le organizzazioni che scambiano email con provider potrebbero essere interessate se questi custodiscono dati di fatturazione o dei dispositivi; la campagna segnalata riguarda però uno specifico provider europeo e i suoi clienti.
8 fonti · 11 nov
Sfruttamento noto · CISA KEV
CVSS 7.5 HIGH: a vulnerability in the Open Client Interface (OCI) XML Parser of Cisco BroadWorks could allow an unauthenticated… EPSS 0.8% (58º percentile).
Data di correzione federale CISA 24 nov
Sfruttamento noto · CISA KEV
CVSS 4.3 MEDIUM: openwave Webtop Media Transcoder does not enforce administrator-defined file type restrictions to restrict the file-types to be converted. EPSS 0.6% (51º percentile), in aumento rispetto a 0.3%.
Data di correzione federale CISA 24 nov
Pubblicato da Microsoft, 10 nov
Sfruttamento noto · CISA KEV
CVSS 6.5 MEDIUM: product ui does not warn user of unsafe actions in Microsoft Office Outlook allows an unauthorized attacker to… Patch Microsoft: Release Notes.
Data di correzione federale CISA 24 nov
Microsoft Security Blog
Lessons from 59 Linux Kernel Bug Reports | Microsoft Security Blog
Microsoft FORGE Lab researchers used codename MDASH to investigate Linux kernel vulnerabilities, resulting in 59 upstream bug reports, 33 assigned CVEs, and 38 merged fixes.
originaleCSIRT Italia / ACN
Aggiornamenti Mensili Microsoft
Microsoft ha rilasciato gli aggiornamenti di sicurezza mensili che risolvono un totale di 1095 nuove vulnerabilità, di cui 1 di tipo 0-day.
originaleSecurityWeek
Threat Actors Exploit Openwave, Cisco BroadWorks Vulnerabilities
The flaws, CVE-2026-111793 and CVE-2026-20320, let attackers leak sensitive information, including configuration data.
originaleRiepilogo fornitore: Microsoft
Part of the PlainSec briefing for 2026-11-11
Every edition of this story: Il rischio si estende da Outlook ai provider telecom