威脅情報

高CVSS7.5#CVE-2026-20320 #Cisco BroadWorks #Cisco #XXE #資訊洩露 #KEV #電信 #雲電話

CVE-2026-20320 — Cisco BroadWorks XXE 讓未經認證的攻擊者讀取配置資訊：解析與對策（已在 RI.2026.07 修復，已列入 KEV）

CVE-2026-20320 是 Cisco BroadWorks OCI-P 中的 XXE 漏洞，無需登入即可暴露配置檔案（CVSS 7.5）。已在 RI.2026.07 修復。已列入 KEV，期限11月24日。

發布於 2026-11-11 更新於 2026-11-11 最後核實 2026-11-11 閱讀時間 2 分鐘

本頁內容

這是一篇針對 Cisco BroadWorks（電信運營商和雲電話服務商使用的通話服務平臺）開通介面中一個可讀取配置資訊的漏洞的解析。本文以防禦視角說明範圍和修復，不涉及如何攻擊。

速覽 — ADVISORY / KEV

CVE: CVE-2026-20320（Cisco 公告 cisco-sa-bworks-xxe-uwUd7CEt）
嚴重度: CVSS v3.1 7.5（High；向量 AV:N/AC:L/PR:N/UI:N，僅影響機密性；由 Cisco 給出）
型別: 對 XML 外部實體引用的限制不當（CWE-611）。無需認證即可讀取配置資訊
受影響: BroadWorks Application Delivery Platform / Application Server / Profile Server / Xtended Services Platform，早於 RI.2026.07
修復: RI.2026.07。沒有臨時辦法
釋出: Cisco 公告：2026年8月19日（僅第一版）
利用情況: 2026年11月10日列入 CISA KEV（期限為11月24日）。Cisco 的公告稱未發現惡意利用

7.5

CVSS v3.1（Cisco）

無需登入

所需許可權

RI.2026.07

修復

11月24日

KEV 期限

這是什麼樣的漏洞

Cisco 的公告稱，OCI XML 解析器預設允許解析外部實體，因此未經認證的遠端攻擊者向 OCI-P 服務傳送精心構造的 XML，就能以 BroadWorks 使用者的許可權讀取檔案系統上的敏感檔案。在 CVSS 向量中，只有機密性為高；完整性和可用性不受影響。公告沒有描述資料格式，本站也不描述。

範圍

產品	受影響版本	修復
BroadWorks Application Delivery Platform	早於 RI.2026.07（Open Client Server [OCS] 和 OCIOverSoap 元件）	RI.2026.07
BroadWorks Application Server	早於 RI.2026.07	RI.2026.07
BroadWorks Profile Server	早於 RI.2026.07	RI.2026.07
BroadWorks Xtended Services Platform	早於 RI.2026.07	RI.2026.07

這四款無論裝置配置如何都受影響。未列出的產品不能確認受影響。
沒有臨時辦法。Cisco 建議升級以徹底修復。
如果您透過經銷商或託管服務使用 BroadWorks，請按同樣的版本判斷，並確認服務提供商的指引。

今天該做什麼（面向運營方）

清點 BroadWorks 元件和版本

按生產、測試和災備環境，分別統計 Application Delivery Platform、Application Server、Profile Server 和 Xtended Services Platform，並確認各自是否早於 RI.2026.07（資產清點清單）。

更新到 RI.2026.07

按 Cisco 的步驟進行。KEV 的期限是11月24日。對於無法停機的環境，請從期限倒推，制定滾動更新計劃，每次更新冗餘對中的一側。

更新之前限制能夠訪問 OCI-P 的來源

Cisco 沒有給出臨時辦法。作為本站自己的補充建議，把能夠訪問 OCI-P 服務的來源限制為開通業務所需的運維繫統和網路。請確認它沒有對網際網路或不受信任的合作方網路開放。這只是降低暴露面的臨時措施，不能代替更新。

審查配置檔案中的憑據

可以被讀取的是 BroadWorks 使用者能讀取的任何內容。如果配置中儲存了資料庫、整合或管理憑據，請假定它們可能已被讀取，並考慮輪換。同時檢查日誌中是否有對 OCI-P 的意外訪問（漏洞響應實務手冊）。

利用情況

CISA 於2026年11月10日把它列入 KEV，期限為11月24日（KEV 版本 2026.11.10）。本站以列入 KEV 作為已被利用的依據。
Cisco 的公告仍是8月19日的第一版（沒有修訂），稱 Cisco 未發現公開的公告或惡意利用。各來源對利用情況的說法不一。
在 KEV 中，勒索軟體使用情況為 Unknown，取證分診為 No。這次列入並不要求檢查是否被入侵。
CVE 記錄中附有 CISA 的評估（active exploitation、automatable、partial technical impact）。
NVD 的狀態為 Analyzed。
NVD 引用的 CVE 記錄和第三方分析確實存在，但本站沒有核實其內容，也不描述細節。

本站的觀點：一旦附上期限，中等評分也會改變優先順序

評分為 CVSS 7.5，且只暴露配置資訊，容易讓人覺得不急。但列入 KEV 意味著利用是真實的，這應當比 CVSS 數字更重要。對於已公開三個月的修復，請從期限（11月24日）倒推，在本週內製定更新計劃（用 CVSS、EPSS、KEV 確定優先順序）。

資訊來源

Cisco — Cisco BroadWorks Out-of-Band Blind XML External Entity Injection Vulnerability（2026年8月19日釋出，僅第一版；受影響產品、修復、無臨時辦法、CVSS 7.5）
CVE.org — CVE-2026-20320（含 CISA 的列入資訊）
NVD — CVE-2026-20320（Analyzed；CWE-611）
CISA KEV — Known Exploited Vulnerabilities Catalog（11月10日列入，期限11月24日）

最後確認：2026年11月11日。

FAQ

QCVE-2026-20320 是什麼？

這是 Cisco BroadWorks 的 Open Client Interface（OCI）XML 解析器中對 XML 外部實體引用的限制不當（CWE-611）。Cisco 的公告稱，外部實體解析預設是允許的，因此未經認證的遠端攻擊者向 OCI-P（Open Client Interface - Provisioning）服務傳送精心構造的 XML，就能檢視 BroadWorks 使用者可讀的檔案。Cisco 給出的 CVSS v3.1 評分為 7.5（High），僅影響機密性。

Q哪些產品和版本受影響，修復方式是什麼？

據 Cisco 的公告，BroadWorks Application Delivery Platform、Application Server、Profile Server 和 Xtended Services Platform 無論裝置配置如何都受影響。每一款中早於 RI.2026.07 的版本受影響，修復版本是 RI.2026.07。對於 Application Delivery Platform，有一條備註稱，涉及的是 Open Client Server（OCS）和 OCIOverSoap 元件。

Q有臨時辦法嗎？

Cisco 的公告稱此漏洞沒有臨時辦法，所以更新是唯一的補救方式。作為本站自己的補充建議，在能夠更新之前，請把能夠訪問 OCI-P 服務的來源限制為開通業務所需的運維繫統。

Q被利用了嗎？

CISA 於2026年11月10日將其列入 KEV，這是已被利用的依據（期限為11月24日）。CVE 記錄中也附有 CISA 的評估（active exploitation、automatable、partial technical impact）。不過，Cisco 的公告仍是8月19日的第一版，稱 Cisco 未發現惡意利用，所以各來源對利用情況的說法不一。在 KEV 中，勒索軟體使用情況為 Unknown，取證分診為 No。規模和手法無法透過公開資訊確認。

這是什麼樣的漏洞

範圍

今天該做什麼（面向運營方）

利用情況

資訊來源

延伸閱讀

FAQ