威胁动态

高CVSS7.5#CVE-2026-20320 #Cisco BroadWorks #Cisco #XXE #信息泄露 #KEV #电信 #云电话

CVE-2026-20320 — Cisco BroadWorks XXE 让未经认证的攻击者读取配置信息：解析与对策（已在 RI.2026.07 修复，已列入 KEV）

CVE-2026-20320 是 Cisco BroadWorks OCI-P 中的 XXE 漏洞，无需登录即可暴露配置文件（CVSS 7.5）。已在 RI.2026.07 修复。已列入 KEV，期限11月24日。

发布于 2026-11-11 更新于 2026-11-11 最后核实 2026-11-11 2 分钟阅读

本页目录

这是一篇针对 Cisco BroadWorks（电信运营商和云电话服务商使用的通话服务平台）开通接口中一个可读取配置信息的漏洞的解析。本文以防御视角说明范围和修复，不涉及如何攻击。

速览 — ADVISORY / KEV

CVE: CVE-2026-20320（Cisco 公告 cisco-sa-bworks-xxe-uwUd7CEt）
严重度: CVSS v3.1 7.5（High；向量 AV:N/AC:L/PR:N/UI:N，仅影响机密性；由 Cisco 给出）
类型: 对 XML 外部实体引用的限制不当（CWE-611）。无需认证即可读取配置信息
受影响: BroadWorks Application Delivery Platform / Application Server / Profile Server / Xtended Services Platform，早于 RI.2026.07
修复: RI.2026.07。没有临时办法
发布: Cisco 公告：2026年8月19日（仅第一版）
利用情况: 2026年11月10日列入 CISA KEV（期限为11月24日）。Cisco 的公告称未发现恶意利用

7.5

CVSS v3.1（Cisco）

无需登录

所需权限

RI.2026.07

修复

11月24日

KEV 期限

这是什么样的漏洞

Cisco 的公告称，OCI XML 解析器默认允许解析外部实体，因此未经认证的远程攻击者向 OCI-P 服务发送精心构造的 XML，就能以 BroadWorks 用户的权限读取文件系统上的敏感文件。在 CVSS 向量中，只有机密性为高；完整性和可用性不受影响。公告没有描述数据格式，本站也不描述。

范围

产品	受影响版本	修复
BroadWorks Application Delivery Platform	早于 RI.2026.07（Open Client Server [OCS] 和 OCIOverSoap 组件）	RI.2026.07
BroadWorks Application Server	早于 RI.2026.07	RI.2026.07
BroadWorks Profile Server	早于 RI.2026.07	RI.2026.07
BroadWorks Xtended Services Platform	早于 RI.2026.07	RI.2026.07

这四款无论设备配置如何都受影响。未列出的产品不能确认受影响。
没有临时办法。Cisco 建议升级以彻底修复。
如果您通过经销商或托管服务使用 BroadWorks，请按同样的版本判断，并确认服务提供商的指引。

今天该做什么（面向运营方）

清点 BroadWorks 组件和版本

按生产、测试和灾备环境，分别统计 Application Delivery Platform、Application Server、Profile Server 和 Xtended Services Platform，并确认各自是否早于 RI.2026.07（资产清点清单）。

更新到 RI.2026.07

按 Cisco 的步骤进行。KEV 的期限是11月24日。对于无法停机的环境，请从期限倒推，制定滚动更新计划，每次更新冗余对中的一侧。

更新之前限制能够访问 OCI-P 的来源

Cisco 没有给出临时办法。作为本站自己的补充建议，把能够访问 OCI-P 服务的来源限制为开通业务所需的运维系统和网络。请确认它没有对互联网或不受信任的合作方网络开放。这只是降低暴露面的临时措施，不能代替更新。

审查配置文件中的凭据

可以被读取的是 BroadWorks 用户能读取的任何内容。如果配置中保存了数据库、集成或管理凭据，请假定它们可能已被读取，并考虑轮换。同时检查日志中是否有对 OCI-P 的意外访问（漏洞响应实务手册）。

利用情况

CISA 于2026年11月10日把它列入 KEV，期限为11月24日（KEV 版本 2026.11.10）。本站以列入 KEV 作为已被利用的依据。
Cisco 的公告仍是8月19日的第一版（没有修订），称 Cisco 未发现公开的公告或恶意利用。各来源对利用情况的说法不一。
在 KEV 中，勒索软件使用情况为 Unknown，取证分诊为 No。这次列入并不要求检查是否被入侵。
CVE 记录中附有 CISA 的评估（active exploitation、automatable、partial technical impact）。
NVD 的状态为 Analyzed。
NVD 引用的 CVE 记录和第三方分析确实存在，但本站没有核实其内容，也不描述细节。

本站的观点：一旦附上期限，中等评分也会改变优先级

评分为 CVSS 7.5，且只暴露配置信息，容易让人觉得不急。但列入 KEV 意味着利用是真实的，这应当比 CVSS 数字更重要。对于已公开三个月的修复，请从期限（11月24日）倒推，在本周内制定更新计划（用 CVSS、EPSS、KEV 确定优先级）。

信息来源

Cisco — Cisco BroadWorks Out-of-Band Blind XML External Entity Injection Vulnerability（2026年8月19日发布，仅第一版；受影响产品、修复、无临时办法、CVSS 7.5）
CVE.org — CVE-2026-20320（含 CISA 的列入信息）
NVD — CVE-2026-20320（Analyzed；CWE-611）
CISA KEV — Known Exploited Vulnerabilities Catalog（11月10日列入，期限11月24日）

最后确认：2026年11月11日。

FAQ

QCVE-2026-20320 是什么？

这是 Cisco BroadWorks 的 Open Client Interface（OCI）XML 解析器中对 XML 外部实体引用的限制不当（CWE-611）。Cisco 的公告称，外部实体解析默认是允许的，因此未经认证的远程攻击者向 OCI-P（Open Client Interface - Provisioning）服务发送精心构造的 XML，就能查看 BroadWorks 用户可读的文件。Cisco 给出的 CVSS v3.1 评分为 7.5（High），仅影响机密性。

Q哪些产品和版本受影响，修复方式是什么？

据 Cisco 的公告，BroadWorks Application Delivery Platform、Application Server、Profile Server 和 Xtended Services Platform 无论设备配置如何都受影响。每一款中早于 RI.2026.07 的版本受影响，修复版本是 RI.2026.07。对于 Application Delivery Platform，有一条备注称，涉及的是 Open Client Server（OCS）和 OCIOverSoap 组件。

Q有临时办法吗？

Cisco 的公告称此漏洞没有临时办法，所以更新是唯一的补救方式。作为本站自己的补充建议，在能够更新之前，请把能够访问 OCI-P 服务的来源限制为开通业务所需的运维系统。

Q被利用了吗？

CISA 于2026年11月10日将其列入 KEV，这是已被利用的依据（期限为11月24日）。CVE 记录中也附有 CISA 的评估（active exploitation、automatable、partial technical impact）。不过，Cisco 的公告仍是8月19日的第一版，称 Cisco 未发现恶意利用，所以各来源对利用情况的说法不一。在 KEV 中，勒索软件使用情况为 Unknown，取证分诊为 No。规模和手法无法通过公开信息确认。

这是什么样的漏洞

范围

今天该做什么（面向运营方）

利用情况

信息来源

延伸阅读

FAQ