事故・脆弱性9分で読める

CVE-2026-20320 — Cisco BroadWorksのXXEで認証なしに設定情報を読み取られる脆弱性の解説と対応策（RI.2026.07で修正・KEV掲載済み）

CVE-2026-20320は、Cisco BroadWorksのOCI-Pサービスで認証なしに設定情報を読み取られるXXEの脆弱性（CVSS 7.5）。修正はRI.2026.07。KEVに11月10日追加、期限11月24日。

高CVSS7.5#CVE-2026-20320 #Cisco BroadWorks #Cisco #XXE #情報漏えい #KEV #通信事業者 #クラウド電話

公開日: 2026-11-11
更新日: 2026-11-11
最終確認: 2026-11-11

Cisco BroadWorks（通信事業者やクラウド電話サービスが使う、通話サービスの基盤）のプロビジョニング用インターフェースにある、設定情報を読み取られる脆弱性の解説です。影響範囲と対応策を、攻撃の再現手順は伏せて防御目線でまとめます。

速報サマリー — ADVISORY / KEV

CVE: CVE-2026-20320（Ciscoのセキュリティ勧告 cisco-sa-bworks-xxe-uwUd7CEt）
重大度: CVSS v3.1 7.5（High。ベクターは AV:N/AC:L/PR:N/UI:N、機密性のみ高。Ciscoが付与）
種別: XML外部エンティティ参照の不備（CWE-611）。認証なしで設定情報を読み取られる
対象: BroadWorks Application Delivery Platform／Application Server／Profile Server／Xtended Services Platform の RI.2026.07より前
修正: RI.2026.07。回避策はなし
公開日: Ciscoの勧告：2026年8月19日（改訂は初版のみ）
悪用状況: CISA KEVに2026年11月10日追加（対応期限 11月24日）。Ciscoの勧告は悪用を把握していないと記載

7.5

CVSS v3.1（Cisco）

認証不要

必要な権限

RI.2026.07

修正

11月24日

KEVの対応期限

どんな脆弱性か

Ciscoの勧告は、OCIのXMLパーサーが外部エンティティの解決を既定で許可していることが原因で、認証されていないリモートの攻撃者がOCI-Pサービスに細工したXMLを送ると、BroadWorksのユーザーの権限でファイルシステム上の機密ファイルを読み取れると説明しています。CVSSの影響は機密性だけが高く、完全性と可用性は影響なしです。送るデータの形は、勧告にも書かれておらず、当サイトも記載しません。

影響範囲

製品	影響を受ける版	修正
BroadWorks Application Delivery Platform	RI.2026.07より前（Open Client Server〔OCS〕とOCIOverSoapの部分）	RI.2026.07
BroadWorks Application Server	RI.2026.07より前	RI.2026.07
BroadWorks Profile Server	RI.2026.07より前	RI.2026.07
BroadWorks Xtended Services Platform	RI.2026.07より前	RI.2026.07

4製品とも、機器の設定にかかわらず対象です。勧告に載っていない製品は、影響が確認されたものではありません。
回避策はありません。Ciscoは、更新が完全な対策だと案内しています。
通信事業者やクラウド電話の事業者が、BroadWorksを再販や管理委託で使っている場合も、同じ版で判断し、提供元の案内を確認してください。

今日やること（運用者向け）

BroadWorksの構成要素と版を洗い出す

Application Delivery Platform、Application Server、Profile Server、Xtended Services Platformを、本番・検証・災害対策の環境ごとに数え、版がRI.2026.07より前かを確認します（資産棚卸しチェックリスト）。

RI.2026.07へ更新する

Ciscoの手順に従って更新します。KEVの対応期限は11月24日です。サービスを止められない環境は、冗長構成の1系統ずつ順に更新する計画を、期限から逆算して立てます。

更新までの間、OCI-Pに届く範囲を絞る

Ciscoは回避策を示していません。当サイトの補足として、OCI-Pのサービスに届く送信元を、プロビジョニングに必要な運用システムとネットワークに絞ります。インターネットや、信頼できない取引先の網に開いていないかを確認します。更新の代わりではなく、露出を減らす暫定の手当てです。

設定ファイルに含まれる資格情報を点検する

読まれるのは、BroadWorksのユーザーの権限で読めるファイルです。設定に、データベースや連携先、管理用の資格情報が含まれる場合は、読まれた可能性を前提に入れ替えを検討します。OCI-Pへの想定外のアクセスがログに残っていないかも、あわせて確認します（脆弱性対応の実務手順）。

悪用状況

CISAは2026年11月10日にKEVへ追加し、対応期限を11月24日としました（KEVの版 2026.11.10）。当サイトは、悪用の根拠をこのKEV追加としています。
Ciscoの勧告は8月19日の初版（改訂なし）のままで、悪用や公開の発表を把握していないと書いています。悪用についての記述が、出所で食い違います。
KEVの記録では、ランサムウェアでの利用は「Unknown（不明）」、フォレンジックの確認は「No」です。今回の追加では、侵害の確認は要求されていません。
CVEの記録に、CISAの評価（悪用あり・自動化可能・技術的影響は部分的）が追記されています。
NVDの状態は Analyzed（分析済み）です。
CVEの記録とNVDが参照する第三者の分析がありますが、当サイトは内容の裏付けを取っておらず、詳細は記載しません。

当サイトの視点：深刻度が中程度でも、期限が付いたら優先度が変わる

CVSS 7.5で、読まれるのは設定情報だけなので、急がなくてよいと判断したくなります。しかし、KEVへの追加は「実際に悪用されている」という合図で、CVSSの点数より優先度を左右します。公開から3か月たつ修正は、期限（11月24日）から逆算して、今週中に更新の計画を立てます（CVSS・EPSS・KEVで優先順位を決める）。

出典

Cisco — Cisco BroadWorks Out-of-Band Blind XML External Entity Injection Vulnerability（2026年8月19日公開・初版のみ。対象製品・修正・回避策なし・CVSS 7.5）
CVE.org — CVE-2026-20320（CISAの追記を含む）
NVD — CVE-2026-20320（Analyzed。CWE-611）
CISA KEV — Known Exploited Vulnerabilities Catalog（11月10日追加・期限11月24日）

最終確認：2026年11月11日。

次に読む

よくある質問

QCVE-2026-20320とは何ですか？

Cisco BroadWorksのOpen Client Interface（OCI）のXMLパーサーにある、XML外部エンティティ参照の不備（CWE-611）です。Ciscoの勧告は、外部エンティティの解決が既定で許可されているため、認証されていないリモートの攻撃者がOCI-P（Open Client Interface - Provisioning）サービスに細工したXMLを送ると、BroadWorksのユーザー権限で読めるファイルを見られると説明しています。CiscoのCVSS v3.1は7.5（High）で、影響は機密性だけです。

Qどの製品と版が対象で、修正は何ですか？

Ciscoの勧告では、BroadWorks Application Delivery Platform、Application Server、Profile Server、Xtended Services Platformの4つが、機器の設定にかかわらず対象です。いずれもRI.2026.07より前が影響を受け、修正はRI.2026.07です。Application Delivery Platformでは、Open Client Server（OCS）とOCIOverSoapの部分が該当すると注記されています。

Q回避策はありますか？

Ciscoの勧告は、この脆弱性に対する回避策はないとしています。更新が唯一の対策です。更新までの間は、当サイトの補足として、OCI-Pのサービスに届く送信元を、プロビジョニングに必要な運用システムに絞ってください。

Qすでに悪用されていますか？

CISAは2026年11月10日にKEVへ追加しており、これが悪用の根拠です（対応期限は11月24日）。CVEの記録にもCISAの評価（悪用あり・自動化可能・技術的影響は部分的）が付いています。一方、Ciscoの勧告は8月19日の初版のままで、悪用を把握していないと書いており、悪用についての記述が出所で食い違います。KEVの記録では、ランサムウェアでの利用は「Unknown（不明）」、フォレンジックの確認は「No」です。攻撃の規模や手口は、公開情報から確認できませんでした。