---
title: "Cisco BroadWorksのXXE、穴は8月に塞いだのに11月に「悪用確認」へ格上げ。設定情報が認証なしで読まれる欠陥だった"
description: "Ciscoが2026年8月に公表したBroadWorksのXML外部実体（XXE）脆弱性（CVE-2026-20320、CVSS 7.5）について、米CISAが11月10日、実際の悪用の証拠に基づき実悪用カタログ（KEV）へ追加した。対象はRI.2026.07より前のリリースで、修正は同リリースへの更新のみ、回避策はない。連邦機関の対応期限は11月24日"
url: https://itpostjp.com/security/cisco-broadworks-cve-2026-20320-xxe-kev-sensitive-files/
category: "セキュリティ"
published_at: 2026-11-11T08:44:00Z
updated_at: 2026-11-11T08:44:00Z
author: "IT Post編集部"
editor: "編集長 千田智也"
publisher: "IT Post by Rice Studio Lab"
language: ja-JP
ai_generated: true
ai_model: muse-wonder
terms: ["CVE（共通脆弱性識別子）", "エクスプロイト", "脆弱性"]
---

# Cisco BroadWorksのXXE、穴は8月に塞いだのに11月に「悪用確認」へ格上げ。設定情報が認証なしで読まれる欠陥だった

IT Post編集部 ＆ 編集長 千田智也

Ciscoが2026年8月に公表したBroadWorksのXML外部実体（XXE）脆弱性（CVE-2026-20320、CVSS 7.5）について、米CISAが11月10日、実際の悪用の証拠に基づき実悪用カタログ（KEV）へ追加した。対象はRI.2026.07より前のリリースで、修正は同リリースへの更新のみ、回避策はない。連邦機関の対応期限は11月24日

## 30秒で分かる結論

- 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年11月10日、Ciscoの業務用電話基盤「BroadWorks」の脆弱性（CVE-2026-20320）を、実際に悪用が確認された脆弱性のカタログ（KEV）へ追加しました。米連邦機関向けの対応期限は11月24日です。
- この脆弱性自体は、Ciscoが2026年8月19日に公表し、修正も出したものです。内容は、XMLの外部実体参照（XXE）の制限が不十分なことで、認証されていない遠隔の攻撃者が、影響を受けるシステム上の機密性の高い設定情報を読み取れてしまう、というものです。Ciscoの評価はCVSS 7.5（High）です。
- 対象は、リリース「RI.2026.07」より前のBroadWorks（Application Delivery Platform、Application Server、Profile Server、Xtended Services Platform）です。修正は同リリースへの更新で、回避策はありません。「8月に出た、いつもの中程度の更新」として後回しにしていた導入先ほど、今が危ない、という構図です。

## まず初めに

8月に「直しました」と言われた穴が、3か月たって「やっぱり使われていました」と格上げされる。脆弱性の世界では珍しくない話だが、当事者にはたまらない。深刻度7.5は、9.8や10.0の行列の後ろでは目立たない。だが攻撃者は、行列の先頭ではなく、守る側が後回しにした場所を狙う。点数の順番と、狙われる順番は、別の表なのだ。

※個人の感想です

## 何が起きたのか

Ciscoは2026年8月19日16時（GMT）に、セキュリティアドバイザリ「cisco-sa-bworks-xxe-uwUd7CEt」を公開しました。対象は、BroadWorksのOpen Client Interface（OCI）まわりのXMLパーサーです。Ciscoの説明では、この脆弱性により、認証されていない遠隔の攻撃者が、影響を受けるシステム上の機密性の高い情報へアクセスできる可能性があります。

分類は、XML外部実体参照の制限が不十分な問題を示すCWE-611です。外部の実体を参照できる形に細工したXMLを処理させると、本来は外部へ出すべきでないファイルや設定の読み取りへつながってしまう、という種類の欠陥（いわゆるXXE）です。CVSSの基本値は7.5で、ベクトルは「AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N」です。ネットワークから到達でき、認証も利用者の操作も不要で、機密性への影響が高い一方、改ざんや停止への影響は無い、という評価になっています。Ciscoの内部バグIDはCSCwv48590です。

Ciscoが8月の時点で認識していた範囲では、この脆弱性の悪用や、概念実証の公開は確認されていませんでした。状況が変わったのは11月です。CISAは11月10日、「悪用の証拠に基づき」この脆弱性をKEVへ追加しました。つまり、8月時点の「理論上の欠陥」から、11月には「実際に使われた欠陥」へ、性格が変わった、ということです。

![Ciscoの発表内容（BroadWorksのXXE脆弱性と修正リリース）](/images/articles/cisco-broadworks-cve-2026-20320-xxe-kev-sensitive-files-inline-1.webp)

## 対象と、直し方

対象製品は、BroadWorks Application Delivery Platform、Application Server、Profile Server、Xtended Services Platformで、いずれも脆弱なリリースを使っている場合に対象になります。Ciscoの表では、各製品とも「RI.2026.07より前」が対象で、最初の修正リリースはRI.2026.07です。Application Delivery Platformでは、Open Client Server（OCS）とOCIOverSoapが関係するコンポーネントとして挙げられています。

| 項目 | 内容 |
|---|---|
| 脆弱性 | CVE-2026-20320（CWE-611、XXE） |
| Ciscoの評価 | CVSS 7.5（High） |
| 公表 | 2026年8月19日（アドバイザリ cisco-sa-bworks-xxe-uwUd7CEt） |
| 対象 | BroadWorks各製品のRI.2026.07より前のリリース |
| 修正 | RI.2026.07への更新 |
| 回避策 | なし（Ciscoの公表） |
| 実悪用 | 米CISAが2026年11月10日にKEV追加。連邦機関の期限は11月24日 |

重要なのは、Ciscoが「回避策はない（No workarounds available）」と明記している点です。設定の工夫で時間を稼ぐ手札は無く、更新だけが対処です。8月の公開から時間がたっているため、既に更新済みの導入先も多いはずですが、電話基盤は止めにくい設備の代表格で、保守の窓が取れずに残っている例も珍しくありません。KEV入りの11月24日という期限は、米連邦機関向けのものですが、悪用が始まっている以上、一般の導入先にとっても「次の保守窓で」という扱いは見直す時期です。

同じ11月10日のKEV追加には、Barracudaのメールセキュリティ製品の2件も含まれていました（[Barracuda ESGの脆弱性を解説した記事](https://itpostjp.com/security/barracuda-esg-cve-2026-116606-111560-root-exploitation-kev/)）。あちらは期限が11月13日と短く、こちらは11月24日です。期限の差は、深刻さの順位というより、各機関の適用計画に合わせた行政上の線引きと読むのが無難です。CISAの項目では、この件についてフォレンジック・トリアージは「不要」とされ、ランサムウェアへの利用は「不明」とされています。

## IT Postの見方

IT Postでは、この件の教訓は「公表日ではなく、悪用確認日で優先順位を組み直す」という運用の当たり前が、また証明されたことだと考えます。8月の時点で7.5は、月例の山の中では埋もれる数字だったはずです。だが、欠陥の価値は、攻撃者が使い始めた日に跳ね上がる。パッチ管理の台帳が「公表日と深刻度」だけで並んでいる組織は、KEVのような「実際に使われた」という信号で並び替え直す工程を持っているかが問われます。BroadWorksのような電話基盤は、情報システム部門の目が届きにくい場所に置かれがちな分だけ、この並び替えの網から漏れやすい。設定情報の読み取りは、それ自体が終点ではなく、次の侵入の地図になる、という点も見落とせません。

## 今後どうなりそうか

11月24日の期限へ向けて、未更新の導入先へのスキャンは増えると見るのが自然です。BroadWorksは通信事業者やサービス事業者が顧客向けの電話サービスに使う基盤でもあるため、直接の運用者でなくても、自社の電話サービスの内側で使われている場合があります。心当たりのある組織は、自社設備の版数確認に加えて、利用中の電話サービス事業者へ、RI.2026.07の適用状況を確認しておくのが現実的です。

## 情報源

「一次情報」は資料の出所を示す区分で、編集部による独立した実測や、すべての主張の実証を示すものではありません。確認の範囲や未確認の点は、本文の説明と併せてご覧ください。

- [Cisco BroadWorks Open Client Interface XML Parser Blind XML External Entity Injection Vulnerability (cisco-sa-bworks-xxe-uwUd7CEt)](https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-bworks-xxe-uwUd7CEt) — Cisco（一次情報）
- [Known Exploited Vulnerabilities Catalog: CVE-2026-20320 Cisco BroadWorks Vulnerability](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-20320) — 米サイバーセキュリティ・インフラセキュリティ庁（CISA）（一次情報）
- [CVE-2026-20320: Cisco BroadWorks XML Parser Bug - What It Means for Your Business and How to Respond](https://integsec.com/blog/cve-2026-20320-cisco-broadworks-xml-parser-bug-what-it-means-for-your-business-and-how-to-respond) — IntegSec

## この記事に出てくるIT用語

- [CVE（共通脆弱性識別子）](https://itpostjp.com/terms/cve-common-vulnerabilities-and-exposures/): 世界中で見つかったソフトウェアの脆弱性一つひとつに割り振られる、共通の番号のことです。
- [エクスプロイト](https://itpostjp.com/terms/exploit/): ソフトウェアの脆弱性を実際に悪用し、不正な操作を実行するために作られたプログラムやコードのことです。
- [脆弱性](https://itpostjp.com/terms/vulnerability/): ソフトウェアやシステムに存在する、悪用されると情報の窃取や不正操作につながりかねない設計・実装上の欠陥のことです。

---

この記事は、公開情報と出典URLの検証、文章作成の一部に生成AIを使用しています。内容の責任はIT Post by Rice Studio Labが負います。

出典表記: IT Post by Rice Studio Lab — https://itpostjp.com/security/cisco-broadworks-cve-2026-20320-xxe-kev-sensitive-files/