高CVSS7.52026-11-11
CVE-2026-20320 — Cisco BroadWorksのXXEで認証なしに設定情報を読み取られる脆弱性の解説と対応策（RI.2026.07で修正・KEV掲載済み）
Cisco BroadWorksのOpen Client Interface（OCI）のXMLパーサーで、外部エンティティの解決が既定で許可されているため、認証されていない攻撃者がOCI-Pサービス経由で設定情報を読み取れる（CWE-611、CVSS 7.5）。Application Delivery Platform・Application Server・Profile Server・Xtended Services Platformの、RI.2026.07より前が対象で、回避策はない。Ciscoの勧告は8月19日の初版のままで、悪用は把握していないと書く。CISAは11月10日にKEVへ追加した（期限11月24日）。当サイトの結論：RI.2026.07へ更新し、更新できるまでOCI-Pに届く範囲を絞り、設定ファイルに含まれる資格情報の入れ替えを検討する。