Cisco BroadWorksにCVE-2026-20320——KEV掲載・修正版へ更新を

公開日：2026年11月11日文：クリスタルメソッド編集部監修：河合継（代表取締役）

CVE-2026-20320とは——Cisco BroadWorksに発見されたXXE脆弱性の概要

2026年8月19日、Cisco BroadWorksに脆弱性が公開された。CVE識別子はCVE-2026-20320、CWEの分類はCWE-611「XML外部エンティティ参照の不適切な制限（XXE）」である（出典：CVE公式記録）。

この脆弱性はCisco BroadWorksのOpen Client Interface – Provisioning（OCI-P）サービスのXMLパーサーに存在する。攻撃者はOCI-Pサービスに対して細工されたXMLメッセージを送信するだけで脆弱性を悪用できる。本脆弱性はout-of-band blind XXEであり、攻撃者はファイル内容を直接レスポンスで受け取るのではなく、攻撃者が制御する外部システムへデータを送信させることで情報を取得する。

悪用が成功すると、攻撃者はCisco BroadWorksユーザーの権限でファイルシステムにアクセスし、機密な設定情報を閲覧できる可能性がある。

図：CVE-2026-20320の攻撃経路。未認証の遠隔攻撃者がOCI-PサービスへXXE攻撃を送信し、ファイルシステム上の機密設定情報を読み取る流れを示す。

CVSS・CISA KEV掲載が示す深刻度——CVE-2026-20320のリスク評価

本脆弱性のCVSSスコアはバージョン3.1で7.5（HIGH）と評価されている（評価者：Cisco）。CVSSベクトルはAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:Nであり、ネットワーク経由・低い攻撃複雑度・認証不要・ユーザー操作不要という条件を満たす（出典：NVD）。

さらに重大なのは、CISAのKnown Exploited Vulnerabilities（KEV）カタログへの掲載だ。KEVへの収録は「実際の攻撃での悪用が確認された」ことを意味する。掲載日は2026年11月10日、CISAが定めた対処期限は2026年11月24日である（出典：CISA KEVカタログ）。

指標	値・内容	意味
CVSS 3.1スコア	7.5（HIGH）	CVSS 3.1で評価された深刻度の指標
認証要否	不要（PR:N）	アカウントを持たない攻撃者も悪用可能
攻撃経路	ネットワーク経由（AV:N）	インターネット公開環境では特にリスクが高い
CISA KEV掲載日	2026年11月10日	実際の攻撃での悪用が確認済み
CISAの対処期限	2026年11月24日	米連邦機関向けの期限（日本企業への法的義務ではない）
ランサムウェアとの関連	Unknown	現時点では不明
EPSS（2026年11月10日時点）	0.385%（パーセンタイル 32.9）	統計的推定値であり、悪用を断定するものではない

CISAが定める対処期限は米連邦機関向けのものであり、日本企業への法的義務ではない。KEV収録は悪用が確認されたことを示すが、読者の環境が影響を受けるとは限らない。

次に読む：Cisco SD-WAN Managerは悪用済み？

Cisco SD-WAN ManagerにCVE-2026-76504——悪用確認、至急更新を

Cisco BroadWorks 脆弱性CVE-2026-20320への対応方針——今やること3点

今やることは次の3点に絞られる。

1. 修正版への更新。影響を受けるCisco BroadWorksを使用している場合は、Ciscoの公式告知に示された修正版へ更新する。配布パッケージの修正状況も、ベンダーである Cisco の公式告知の修正版で判断する。

2. CISAのKEV掲載を更新優先順位の根拠にする。CISAが示した必要な対処の要旨は、「ベンダーの指示に従ったミティゲーションの適用、またはミティゲーションが利用できない場合は製品の使用停止」であり、BOD 26-04のガイダンスへの準拠が求められている（出典：CISA KEVカタログ）。日本企業への法的拘束力はないが、悪用確認済みの脆弱性として更新の優先順位を上げる根拠として活用できる。

3. 修正版が無い場合は、ベンダーの告知に従う。公式の回避策の有無は、現時点では記載なし。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

参考文献

CVE公式記録（CVE-2026-20320） — https://www.cve.org/CVERecord?id=CVE-2026-20320
NVD（National Vulnerability Database） — https://nvd.nist.gov/vuln/detail/CVE-2026-20320
CISA Known Exploited Vulnerabilities Catalog — https://www.cisa.gov/known-exploited-vulnerabilities-catalog

重大な脆弱性が出たら、メールでお知らせします

悪用が確認された重大な脆弱性が出たときだけ送ります（頻繁には送りません）。無料・配信停止はメール内のリンクからいつでもできます。

脆弱性への対応・AIセキュリティでお困りの方へ

クリスタルメソッドは、脆弱性情報の監視とお知らせ、AIセキュリティのご相談、AIを業務に取り入れる際のセキュリティを学ぶ研修をお受けしています。「使っている製品が対象か分からない」「社内でAIを使うときの注意点を整理したい」といった段階からご相談いただけます。

無料相談・お問い合わせ：ご相談はこちら
提供内容と料金：脆弱性の監視サービス

監修

河合継（クリスタルメソッド株式会社代表取締役）

AI・ディープラーニングに関する特許16件の発明者。過去、国立がん研究センターとの共同研究や、テレビ番組でのAI解説実績を持つAI研究者として、AIの研究開発を主導している。
運営会社について｜編集方針