Cisco BroadWorks の脆弱性 CVE-2026-20320 が FIX：機密データ窃取の恐れ

Cisco External Entity Injection Vulnerability Allows Attackers to Read Sensitive Data

2026/08/20 CyberSecurityNews — Cisco が公表したのは、Cisco BroadWorks に存在する深刻度 High の XML 外部エンティティ・インジェクション脆弱性に対するセキュリティ・アップデートのリリースである。この脆弱性を悪用する未認証のリモート攻撃者は、影響を受けるシステムから機密性の高いコンフィグ・データやファイルを読み取る可能性がある。この問題は CVE-2026-20320 (CVSS 7.5) として追跡され、BroadWorks プラットフォームの複数のコンポーネントに影響を及ぼす。この脆弱性は、Open Client Interface XML Parser で特定され、XML 外部エンティティ参照の不適切な制限を示す CWE-611 に分類されている。

2026年8月19日に Cisco は、アドバイザリ "cisco-sa-bworks-xxe-uwUd7CEt" を公開し、影響を受ける XML パーサがデフォルトで外部エンティティの解決を許可するという、欠陥が存在することを明らかにした。

XML 入力が処理される際に、ローカル・リソースの取得など可能な場所へのアクセスを、それらの外部エンティティからパーサに指示できるようになる。この動作により、XML インターフェイスからはアクセスできないはずの情報が露出する可能性がある。

この脆弱性を悪用する攻撃者は、OCI-P とも呼ばれる Open Client Interface Provisioning サービスへ向けて、特別に細工した XML メッセージを送信する可能性がある。

この悪用において認証やユーザー操作は必要ないため、外部へ露出している BroadWorks デプロイメント環境でのリスクが高まる。

Cisco の External Entity インジェクション脆弱性

この攻撃に成功した脅威アクターが、Cisco BroadWorks ユーザーに割り当てられた権限を悪用し、ファイル・システムから機密性の高いファイルを閲覧する可能性があると、Cisco は警告している。このアドバイザリでは、この問題を帯域外ブラインド XML External Entity インジェクション脆弱性と説明している。

ブラインド XXE 攻撃では、アプリケーションのレスポンスから、標的ファイルの内容を直接受信できない場合がある。その代わりに、脆弱なサーバを誘導することで、攻撃者が制御する外部システムへ向けてデータ／通信結果が送信される可能性がある。

影響を受ける製品に含まれるのは、Cisco BroadWorks Application Delivery Platform／BroadWorks Application Server／BroadWorks Profile Server／BroadWorks Xtended Services Platform などである。

Cisco によると、これらの製品ファミリーの、バージョン RI.2026.07 未満を実行するシステムが影響を受ける。すでに Cisco は、BroadWorks RI.2026.07 をリリースし、この問題に対処している。BroadWorks Application Delivery Platform の場合には、この修正は Open Client Server／OCIOverSoap コンポーネントに対して適用される。

影響を受けるリリースを使用する組織に求められるのは、OCI-P を使用／公開しているシステムを特定し、適切な修正版ソフトウェア・リリースを速やかに適用することである。

回避策は提供されていない。この問題を完全に修復するには修正版リリースが必要となる。Cisco が推奨しているのは、一時的な緩和策に依存せずに、提供されている修正版へとアップグレードすることである。また Admin に求められるのは、BroadWorks のマネージメント／プロビジョニング・インターフェイスのネットワーク露出状況を確認することである。

OCI-P は、信頼できない広範なネットワークからアクセス可能な状態にすべきではない。組織に求められるのは、ネットワーク・セグメンテーション／ファイアウォール・ポリシー／厳密に制御された Admin アクセス経路を使用してアクセスを制限することである。

セキュリティ・チームが監視すべきは、異常な XML リクエスト／BroadWorks インフラストラクチャからの予期しないアウトバウンド接続／ローカル・ファイルまたは内部ネットワーク・サービスへの不審なアクセス試行などである。

Cisco PSIRT によると、今回の情報が公開された時点で、CVE-2026-20320 に関する公表情報や悪意のある悪用は確認されていない。この脆弱性を報告したのは、セキュリティ研究者 Sandesh M Gawai である。

Cisco BroadWorks の脆弱性 CVE-2026-20320 の、修正と対策について解説する記事です。XML パーサによる外部参照制限の不備が、この件の背景です。この欠陥により、未認証での重要ファイル閲覧／構成データの流出／システム情報の非正規な取得といった被害が生じる恐れがあります。対応策として、修正適用済みリリースへの更新／管理用プロビジョニング機能のアクセス遮断／不審な外部接続の監視が求められます。