要点
影響を受けるもの
- Cisco BroadWorksのApplication Delivery Platform、Application Server、Profile Server、Xtended Services PlatformのRI.2026.07より前の版。設定にかかわらず影響を受ける（Cisco cisco-sa-bworks-xxe-uwUd7CEt）。
- BroadWorksは通信事業者やクラウドPBX事業者が運用する基盤で、利用企業側が直接更新するものではない。
今すぐやること
- 4製品をRI.2026.07に更新する（Ciscoは回避策なしとしている）。
- OCI-P（プロビジョニング用のXMLインターフェース）に届く通信を、必要な社内システムからだけに絞る。
- 更新前に外部から届く状態だったサーバーは、保存されている秘密鍵・証明書・パスワードを入れ替える。
何が起きているか
事実（Cisco、CISA）
- Ciscoは2026年8月19日、BroadWorksのOpen Client Interface（OCI）のXML解析処理に、外部エンティティ参照（XXE）の不備CVE-2026-20320があると公表し、修正版RI.2026.07を出した。XML解析で外部エンティティの解決が既定で有効になっており、認証されていない攻撃者がOCI-Pサービスに細工したXMLを送ると、BroadWorksの実行ユーザーの権限でサーバー上のファイルを読み取れる。Ciscoは結果を通常の応答ではなく別経路で持ち出す「out-of-band blind XXE」と説明している（Cisco）。
- CVSS 3.1の基本値は7.5（
AV:N/AC:L/PR:N/UI:N、機密性のみ影響）。CWE-611（Cisco）。 - CISAは11月10日、この脆弱性をKEVに追加した。米連邦機関の対応期限は11月24日（CISA 11月10日の追加告知）。
- 2026年11月10日時点で確認した限り、Ciscoの勧告（Version 1.0）は「悪用は把握していない」という8月時点の記述のまま更新されていない（TrustList、Kyberkit）。
事実（研究者の報告。Kyberkitの要約による）
- Malbear Labsは11月8日、「Operation Snowball」と名付けた攻撃の分析を公開し、欧州の通信事業者と、その基盤に載る13組織が狙われたとした。侵入口はCVE-2026-20320で、ポート2208で外部に公開されていたXtended Services Platform（Release 23.0.1.1075）から、システムの秘密鍵、SSL認証情報3組、秘密鍵と証明書3組が盗まれたという。NVDは11月10日にこの報告への参照を追加した（Kyberkit）。
- 同じ報告は、安全機能を外したAIエージェントが約2週間の侵入の大半を実行したとしているが、Kyberkitは独自に検証できていないとしている。この記事でもこの点は未確認情報として扱う。
影響を受ける製品・バージョン
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| BroadWorks Application Delivery Platform（OCSとOCIOverSoap） | RI.2026.07より前 | RI.2026.07 |
| BroadWorks Application Server | RI.2026.07より前 | RI.2026.07 |
| BroadWorks Profile Server | RI.2026.07より前 | RI.2026.07 |
| BroadWorks Xtended Services Platform | RI.2026.07より前 | RI.2026.07 |
（Cisco。Bug ID CSCwv48590）
修正版・回避策
- 修正：RI.2026.07へ更新する（Cisco）。
- 回避策：Ciscoは「回避策はない」としている。OCI-Pへの到達元の制限は被害を減らす手段にはなるが、修正の代わりにはならない。
今すぐやること
- 運用しているBroadWorksの4製品の版を確認し、RI.2026.07より前ならすぐ更新する。
- OCI-P（報告された攻撃ではポート2208）がインターネットや不要なネットワークから届かないよう、ファイアウォールで制限する。
- 更新前に外部から届く状態だったサーバーは、読み取られた前提で、保存されている秘密鍵、証明書、SSL認証情報、データベースや管理者のパスワードを入れ替える。
- OCI-Pへの見慣れない送信元からのXML、BroadWorksサーバーから未知の宛先への外向き通信がないか、ログを確認する。
- クラウドPBXなどを利用している企業は、契約先の事業者に修正の適用状況を問い合わせる。
考察
- 「読めるだけ」でも被害は大きい: CVSSは7.5で、コード実行ではない。ただ、サーバーの秘密鍵や認証情報を読めれば、それを使って先へ進める。報告された事例はまさにその形で、点数だけで後回しにすると危ないと考える。
- 3か月前の修正が未適用のまま狙われた: 修正は8月に出ていたが、攻撃された事例のサーバーは古い版のままだったとされる。通信事業者の基盤は停止しにくく更新が遅れがちで、その隙を突かれた形だ。
- ベンダーの勧告だけを見ていると気づけない: Ciscoの勧告は悪用について更新されていない。KEVのような外部の情報も合わせて優先度を決める必要がある。
出典
- Cisco: Cisco BroadWorks Out-of-Band Blind XML External Entity Injection Vulnerability（cisco-sa-bworks-xxe-uwUd7CEt、2026年8月19日）
- CISA: CISA Adds Six Known Exploited Vulnerabilities to Catalog（2026年11月10日）
- NVD: CVE-2026-20320
- Kyberkit: Cisco BroadWorks: an August XXE flaw is now exploited, and attackers are stealing server private keys（2026年11月10日）
- TrustList: CISA lists Cisco BroadWorks XXE flaw as exploited, due 24 November