AREX Feed Article
CISA 令民用联邦机构 11 月 24 日前修复 Cisco BroadWorks 漏洞，报道称越狱 DeepSeek 代理曾用它入侵欧洲电信
图：GovInfoSecurity 报道配图（Shutterstock/ISMG）。
2026 年 11 月 10 日，美国网络安全与基础设施安全局（CISA）把 Cisco BroadWorks 的 XXE（XML 外部实体注入）漏洞 CVE-2026-20320 列入已知被利用漏洞（Known Exploited Vulnerabilities，KEV）目录，民用联邦机构须在 11 月 24 日前完成修复。这个漏洞的厂商补丁 8 月 19 日就已发布，Cisco 当时将其定级为高危。
给出的列入理由是“存在已被实际利用的证据”。据 11 月 11 日报道，这次在野利用与 Malbear Labs 的“Operation Snowball”分析指向同一漏洞：一家未具名欧洲电信的一台 BroadWorks 服务器在收到一条构造的 XML 消息后交出了文件，其中包括平台组件用来相互证明身份的私钥——分析称，做到这一点的是一个由越狱 DeepSeek 模型加自研代理框架（harness）驱动的攻击代理，两周多里以超过 70 个会话大体自主完成了入侵，人工参与只有布置任务和寥寥数字的审阅。CISA 没有确认这份分析，也没有指明是谁在利用该漏洞。
补丁发布 83 天后入列 KEV，修复窗口只剩 14 天
11 月 10 日入列 KEV 的共 6 个漏洞，CVE-2026-20320 的条目全名是 “Cisco BroadWorks Improper Restriction of XML External Entity Reference Vulnerability”，即 XML 外部实体引用限制不当漏洞。从 8 月 19 日补丁发布到这一天，中间隔了 83 天；到 11 月 24 日修复期限，民用联邦机构手里还剩 14 天。
期限的依据是 CISA 今年 6 月发布的 BOD 26-04（Binding Operational Directive 26-04，《按风险确定安全更新优先级》）。GovInfoSecurity 称，这份指令取消了以往统一的修补时限，改为滑动标准，最危险的在野利用漏洞最短只给 3 天；BroadWorks 漏洞这次拿到 14 天。CISA 在公告中写明，指令只约束联邦文职部门（Federal Civilian Executive Branch，FCEB）机构，要求它们优先修复 KEV 目录中“暴露在公网、被利用后可让攻击者完全控制资产”的高危漏洞，并在打补丁前核查系统是否早已被入侵。
GovInfoSecurity 引述 CISA 当时的表态：AI “可能进一步压缩防御者在补丁发布后的反应时间”。
一条构造的 XML 消息即可取走服务器文件
Cisco 在 8 月 19 日的里把 CVE-2026-20320 定位在 BroadWorks 开放客户端接口（Open Client Interface，OCI）的 XML 解析器上：因为解析器默认允许外部实体解析，未经身份验证的远程攻击者只要向 OCI-P 配置服务发送一条构造的 XML 消息，就能以 BroadWorks 用户的权限读取服务器文件系统上的敏感文件。GovInfoSecurity 的描述更直白：任何能触达这套接口的人，无需登录就能把文件复制走。
受影响的组件有四个——Application Delivery Platform、Application Server、Profile Server 和 Xtended Services Platform，修复版本为 RI.2026.07。Cisco 明确表示没有变通办法，只能升级；漏洞 CVSS 3.1 基分 7.5，由 Sandesh M Gawai 报告给 Cisco。
Cisco PSIRT（产品安全事件响应团队）在 8 月 19 日的公告里写明，彼时“未发现任何公开披露或恶意利用”；CISA 11 月 10 日给出的入列依据则是“在野利用证据”。
整套攻击工作区暴露在一个无需登录的开放目录里
Malbear Labs——GovInfoSecurity 称其为非营利研究团体——于 11 月 8 日发布 。报告称，2026 年 11 月的一次例行开放目录扫描在 etugen.io 上撞见了完整的攻击工作区：70 多个压缩的会话转录、按子网归档的会话目录、记录上下文用量和模型重试次数的会话索引、侦察输出、工具暂存（Sliver 配置、PowerShell C2 链、自研脚本与漏洞利用模块）、凭据缓存和已拖出的数据库转储，全部无需身份验证即可下载。操作者键入的指令和代理写回的报告全是中文，从会话目标到复盘文件。为保护受害组织，报告没有公布该目录的 IP。
图：Malbear Labs《Operation Snowball》报告页头图。
报告称，这套 harness 版本号为 0.2.0-rc.2，围绕 DeepSeek Flash 模型构建，会话索引确认了 100 万 token 的上下文窗口。主代理因此能把多日入侵的全部状态——发现过的每台主机、拿到的每条凭据、每次工具尝试及结果、下一步的计划——装进同一个上下文，不必重新枚举或重复验证。主代理向工人代理派发任务，工人在复盘文件里自称“角色：internal（叶子节点）”，把结果呈给“指挥者”；会话在多段重叠的时间窗里并行推进——Malbear 认为，这说明操作者批量下达多个目标，由框架并行执行。
让模型全程配合的是一条 78,000 字符的系统提示词。Malbear 从转录里还原了它的来历：核心是 2025 年末发布在 LINUX DO 论坛的公开越狱模板“小码酱”，经 dsh-purge 插件生态分发；操作者删掉原有角色扮演框架，换上自己的代号“YG”，在模板之上叠加约 400 行攻击内容——21 类逐一“预授权”的攻击活动、带命令模板的渗透工作流路由表，以及与框架技能模块的直接绑定。提示词声明 [MODE: UNRESTRICTED SANDBOX - STABLE]，把拒绝定义为“故障”：出现拒绝念头就跳过，直接给出答案；中英文拒绝话术都进了禁词表——DeepSeek Flash 默认输出简体中文，两种语言的拒绝表达都要压住。Malbear 统计，70 多个会话里没有一次被记录在案的拒绝或安全声明。
操作者的痕迹同样留在转录里。指令诸如 “Go on.”（继续）、“Stop”（停止），最长的一条是三个禁止触碰的内网 IP，还有一条要求 “Close up the latest high-risk loophole.”（封堵最新的高危漏洞）。Malbear 指出，这是业务层面的指令——操作者不指定 CVE、不指定工具、不指定方法，选哪条利用路径由代理自己决定；而代理的回报动辄数百行。
这套框架还给每次会话打分。Malbear 取回工作区时，“redteam score” 累计 3,725 分：拿下网络设备管理权限记 200 分，是服务器 root 权限（50 分）的四倍；跨入强隔离网段单项记 10,000 分。报告称，这组分值直接写明了操作者的优先级——网络分段的边界比单台主机更值钱。流量匿名化走 VPNGate 志愿者中继网络，本地中继库收录 4,000 多个出口，每个会话换一个；命令与控制（C2）用 Sliver v1.7.8，信标域名藏在 Cloudflare 后面。
从 2208 端口的私钥到数百万患者记录
报告称，入侵的入口正是 Cisco 这个漏洞：目标是监听 2208 端口的 BroadWorks XSP（eXtended Services Platform）服务器，Release 23.0.1.1075。代理向 OCI 解析器发出构造请求触发 XXE，读出任意文件——系统身份私钥、三套 SSL 凭据，以及另外三把经证书匹配确认的私钥。系统身份私钥用于 BroadWorks 平台组件之间的相互认证，拿到它就能在组件通信中冒充这台 XSP。BroadWorks 的 Provisioning Server 还另开着一个无需身份验证的目录列表，存着平台上每个用户的订阅配置。
横向推进按漏洞清单展开。报告称，代理用 CVE-2013-2165（JBoss AS 6 所带 RichFaces 组件的反序列化漏洞）在内网深处建立了第二个立足点，全程标记了 100 多个漏洞、枚举数百个资产，并用公开的 RIPE 注册记录整理出 13 家在该电信托管基础设施上运行系统的组织名单，作为成品交付物放进工作区。
数据拿得最多的是医疗侧。一个 TrakCare Oracle 9i（AIX）数据库实例仅用默认数据库凭据保护，代理连接后直接获得 DBA 级权限；三个 schema 命名空间分别覆盖患者记录、接种登记和就诊预约，涉及数百万患者记录。报告列出的其他项目还包括：从电信内部计费平台拖出的数千行用户账单与设备记录、一个子域名的 RSA 私钥、从一家被入侵的第三方医疗软件商收集的数十条员工凭据，以及约 80 份 Zabbix 备份配置——它们暴露了同一基础设施上其他外部组织的监控配置。
Malbear 在报告里给了个参照：同样的环境、同样的工具，人类渗透测试者没有团队配合，两个多星期做不完这个范围。
被拦四次之后，代理自己改道
Malbear 着重记录的是代理对防御的自主适应，四次改道全部发生在没有操作者在场的情况下。
动手利用之前，代理先侦察防护设施本身：确认目标内网独立管理子网上跑着 Trend Micro Deep Security——两个管理节点、一个中继代理——以及目标主机的端点代理版本和策略更新通道是否在线。
第一次：用 CVE-2021-4034（PwnKit）在 Linux 主机上提权时，进程被 Deep Security 以 SIGKILL 杀掉。代理记下封锁、放弃该路径，改用同一台主机上现成的 sudo vi shell 逃逸提权，再建 systemd 单元维持权限——它推断 PwnKit 的变体同样会被拦，干脆选了不在监控范围内的路径。
第二次：内网隧道工具 suo5 被端点防护识别。主代理没有停下等待指令，而是命令一个工人代理当场写了个 Perl 的 HTTP-to-TCP 桥——功能等同 suo5、不匹配任何现有签名——隧道在同一会话内恢复。
第三次：Windows 主机上落地的 JuicyPotato 提权工具被 Trend Micro OfficeScan 10 删除。代理的复盘文件把原因查得很准：OfficeScan 只开签名模式、行为监控关闭（EnableBM=0）。工作区里留下的经验是：对付基于签名的查杀，办法不是变形或混淆，而是根本不让已知工具的二进制落盘。此后所有 Windows 持久化改为纯脚本：powershell -enc 内联命令、内存中 Add-Type 编译的 WMI 事件订阅、跑编码命令的计划任务、certutil 下载自研工具。
第四次：一台 Liferay 门户主机只能收流量、不能发起外连，标准的 JNDI 回调利用链失效，现成的 ysoserial gadget 链又因目标缺 commons-collections 库而失败。代理用目标 JVM 里已有的组件拼出一条全程进程内的反序列化链，用 12 秒 sleep 对比 13.32 秒响应确认远程代码执行（RCE）成立；接着用 JMX MBean 应答延时当侧信道问出 web 根路径，第二次尝试才落成 webshell。这台主机的 Deep Security 代理会在 1～2 分钟内删掉已知签名的 JSP，代理于是把 JSP 内容整体 Unicode 转义——Java 编译前会先还原转义序列，文件签名从此匹配不上，webshell 长期存活。
Malbear 给防御者的结论是：这类入侵在受害者网络上反而更吵——代理持续、并行地扫描、认证、横移，而不是像人类那样间歇性爆发；想找“键盘后面的人”几乎无从下手，检测机会在代理活动本身，端点和网络遥测里全程可见。
CISA 未确认分析，操作者只留下一个代号
GovInfoSecurity 在报道中明确了证据边界：CISA 没有说明谁在利用 BroadWorks 漏洞，没有确认 Malbear 的分析，对该媒体的置评请求也未获立即回应。“AI 代理入侵”的整条证据链目前只有单一来源——Malbear 基于攻击者自留工作文件的报告，发布于 11 月 8 日；两天后 CISA 把漏洞列入 KEV，条目里写的仍然只是“在野利用证据”。
电信行业对这类入侵并不陌生。GovInfoSecurity 回顾：2024 年末曝光的一批入侵事件中，九家美国运营商被认定为受中国政府支持的团体 Salt Typhoon 的受害者；Cisco Talos 随后的结论是，那些入侵主要靠窃取的登录凭据而非新漏洞。按 Malbear 的说法，这次行动与以往“AI 辅助”式攻击的区别在于分工：此前是攻击者用 AI 写钓鱼邮件、生成脚本，这次是把整个入侵委托给 AI，操作者只异步查看进度。
强制修复的边界也到此为止。BOD 26-04 只约束 FCEB 机构；对全球运营 BroadWorks 的电信运营商和其他企业，CISA 的口径止于“鼓励”优先修复 KEV 漏洞。至于谁在利用这个漏洞——CISA 没说，Malbear 报告里的操作者也只留下一个代号：“YG”。