シスコ電話基盤の欠陥、修正から3カ月後に「悪用確認」　米CISAが11月24日を期限に

　米サイバーセキュリティ・社会基盤安全保障庁（CISA）が11月10日（米国時間）、シスコの「Cisco BroadWorks」に見つかったXML外部実体参照（XXE）の脆弱性「CVE-2026-20320」を、悪用が確認された脆弱性（KEV）のカタログに追加したことが明らかになった。KEVへの掲載は、実際に悪用された証拠があることを意味する。対象はCISAが運用する、悪用の確認された脆弱性の一覧である。CISAは連邦政府機関に対し、11月24日までに対応するよう求めている。

　BroadWorksは、通信事業者や企業がクラウド型の電話サービスを運用するための基盤。問題の脆弱性は、プロビジョニング用のOpen Client Interface（OCI-P）サービスで、XMLの外部実体参照が既定で許可されていることに起因する（CWE-611）。認証なしの遠隔の攻撃者に、システム上の機密性の高い設定情報を読み取られるおそれがあるという。

　シスコは8月19日にセキュリティアドバイザリを公開した。深刻度は「High」で、CVSS 3.1の基本値は7.5。機密性への影響のみが高いと評価している。

　影響を受けるのは、Application Server、Profile Server、Xtended Services Platformの「RI.2026.07」より前のリリースと、Application Delivery Platformの「RI.2026.071」より前のリリース。修正版はいずれも「RI.2026.07」で、回避策はないとしている。

　一方、このアドバイザリは公開以降、改訂されていない。シスコは「悪意のある利用は把握していない」との記載を残したままだ。CISAは悪用の手口や攻撃者、被害の状況を公表しておらず、ランサムウェア攻撃への利用の有無も「不明」としている。