ルーター・スイッチ・無線Cisco BroadWorks情報漏えい深刻度高悪用確認

BroadWorksの脆弱性CVE-2026-20320｜悪用確認、設定情報の漏えいと修正版

公開 2026-11-11公表 2026-08-20資料確認 2026-11-11ルーター・スイッチ・無線の脆弱性 126件のまとめ Ciscoの脆弱性情報まとめ

ルーター・スイッチ・無線　/　公表 2026-08-20

認証なしで、BroadWorksユーザーの権限で読める機密ファイルを取得されるおそれ

KEV米CISAが悪用を確認

01　使われている所Cisco BroadWorksのサーバー環境

対象：Cisco BroadWorksのADP・Application Server・Profile Server・Xtended Services Platform（CVE-2026-20320）

02　対象と修正版対象4製品のRI.2026.07より前。機器の構成にかかわらず対象

修正版　4製品とも最初の修正版はRI.2026.07

03　次にやること自社で確かめる順番

1　対象製品とバージョンを確認

2　OCI-Pへの接続経路を確認

3　保守担当と修正済みリリースへの更新を進める

出典　Cisco：Cisco BroadWorks Out-of-Band Blind XML External Entity Injection Vulnerability（2026-08-20公表（日本時間。原文は8月19日16:00 GMT）、2026-11-11確認）

要点を、上司や保守の会社へのメール・チャットに貼れる文章でコピーします

Cisco BroadWorksのCVE-2026-20320は、対象の4製品でRI.2026.07より前を使う環境において、認証のない攻撃者に機密ファイルを読み取られるおそれがある脆弱性です。最初の修正版はRI.2026.07で、まず製品とバージョンを確かめて更新を進めます。[1]

CVE記録内の米CISAの追記では、2026年11月10日のKEV追加を確認できます。Cisco告知の悪用に関する記載は、この追記と分けて読む必要があります。[2]

この記事の要点

対象はApplication Delivery Platform・Application Server・Profile Server・Xtended Services Platformの4製品です。
OCI-Pサービスへ細工したXMLメッセージを送る攻撃で、攻撃者の認証は不要です。
米CISAはKEVに追加していますが、確認したCisco告知は悪用を把握していないと記載しています。
Ciscoは回避策を提供しておらず、修正済みリリースへの更新を推奨しています。

01BroadWorksで読み取られるおそれがある情報

OCI（Open Client Interface）のXML解析処理が、初期状態で外部の実体参照を許すことが原因です。細工した入力を受けると、Cisco BroadWorksユーザーの権限で読める機密ファイルを攻撃者に取得される可能性があります。[1]

CiscoはCVSS 3.1の基本値を7.5（高）と評価しています。採番者Ciscoが登録したCVE記録も同じ評価で、攻撃者の認証と利用者の操作は不要としています。[2]

02対象になるBroadWorksの4製品

RI.2026.07より前の脆弱なリリースを使う次の4製品が対象です。Ciscoは、機器の構成にかかわらず影響を受けるとしています。[1]

BroadWorks Application Delivery Platform（ADP。修正版表の注記はOpen Client ServerとOCIOverSoap）
BroadWorks Application Server
BroadWorks Profile Server
BroadWorks Xtended Services Platform

03KEVへの追加とCiscoの悪用情報

CVE記録内のCISA ADP追記には、2026年11月10日にKEVへ追加したと記載されています。KEVは、米CISAが実際の悪用を確認した脆弱性をまとめた一覧です。[2]

一方、確認したCisco告知の「Exploitation and Public Announcements」は、この脆弱性の公開情報や悪意ある利用を把握していないと記載しています。告知の改訂履歴は2026年8月19日の初回公開（1.0）のままです。悪用確認の根拠はCISAの追記で、Cisco自身の悪用確認としては扱いません。[1]

04OCI-Pサービスへの接続経路を確認する

攻撃の入力先はOCI-P（Open Client Interface - Provisioning）サービスです。対象サーバーとOCI-Pへの接続経路を保守担当と確認し、脆弱なリリースが稼働しているかを調べます。攻撃者がログインできることは成立条件に含まれません。[1]

05対象バージョンと修正版RI.2026.07

4製品とも、Ciscoが示す最初の修正版はRI.2026.07です。RI.2026.07より前を使っている場合は、利用環境に適した修正済みリリースへ更新します。[1]

製品	影響範囲	最初の修正版
Application Delivery Platform	RI.2026.07より前	RI.2026.07
Application Server	RI.2026.07より前	RI.2026.07
Profile Server	RI.2026.07より前	RI.2026.07
Xtended Services Platform	RI.2026.07より前	RI.2026.07

更新前には、必要なメモリと、現在のハードウェア・ソフトウェア構成が更新後もサポートされるかを確認するようCiscoは案内しています。不明な場合はCisco TACまたは契約している保守会社へ相談します。[1]

06BroadWorksをすぐ更新できない場合

Ciscoは、この脆弱性を解消する回避策は無いとしています。契約している保守会社へ製品名、現在のリリース、CVE-2026-20320と告知URLを伝え、修正済みリリースへの更新を調整します。[1]

AI攻撃対応型システム改修支援既存システムの制約と業務への影響を踏まえ、改修の計画から実装・結果の確認まで支援します。

無料で相談するサービスの詳細を見る

よくある質問

ログインできない攻撃者も悪用できますか？

はい。Ciscoは認証のない遠隔の攻撃者がOCI-Pへ細工したXMLを送り、機密ファイルを読み取れる可能性を示しています。[1]

どのバージョンへ更新すればよいですか？

対象の4製品とも、最初の修正版はRI.2026.07です。現在の構成が対応する修正済みリリースを保守担当と確認します。[1]

Ciscoが悪用を確認したのですか？

確認したCisco告知は悪用を把握していないとしています。悪用確認の根拠は、CVE記録内のCISA ADPによる2026年11月10日のKEV追加です。[1][2]

更新せずに回避できますか？

Ciscoは回避策を提供していません。修正済みリリースへの更新を推奨しています。[1]

出典・参考資料

Cisco：Cisco BroadWorks Out-of-Band Blind XML External Entity Injection Vulnerability2026-08-20公表（日本時間。原文は8月19日16:00 GMT）、2026-11-11確認　／　影響、成立条件、4製品の対象と修正版、CVSS、悪用の記載、回避策、更新前の確認事項
CVE Program：CVE-2026-20320（採番：Cisco、CISA ADP追記）2026-08-20公表・2026-11-11更新（日本時間）、2026-11-11確認　／　識別番号、CiscoのCVSS 3.1評価、CISAによるKEV追加日と悪用の評価

あわせて読みたい記事

ルーター・スイッチ・無線公開 2026-11-02