Cisco BroadWorks OCI 介面 XXE 漏洞 CVE-2026-20320 列入 KEV，未驗證攻擊者可讀取伺服器敏感檔案

Cisco 於 2026 年 8 月 19 日公告 BroadWorks 的 Open Client Interface（OCI）XML 解析器預設允許解析外部實體，未經驗證的遠端攻擊者可對 OCI-P 服務送出特製 XML，以 BroadWorks 使用者權限讀取檔案系統中的敏感檔案 ^[1]。CISA 於 11 月 10 日將 CVE-2026-20320 列入已知遭利用漏洞目錄，但 Cisco 公告當時表示未發現惡意利用，目前也未公開攻擊細節 ^[1][2]。使用 BroadWorks Application Delivery Platform、Application Server 或 Xtended Services Platform 的電信業者應依 Cisco 公告升級至修補版本，因為此漏洞沒有替代緩解措施 ^[1]。

執行受影響版本 BroadWorks Application Delivery Platform、Application Server 與 Xtended Services Platform 的組織，與設定無關 ^[1]

1. 依 Cisco 公告 cisco-sa-bworks-xxe-uwUd7CEt 的修補版本表升級 BroadWorks ^[1]。
2. 此漏洞沒有替代緩解措施，無法以設定調整取代升級 ^[1]。
3. 聯邦機構須依 CISA KEV 要求於 2026 年 11 月 24 日前完成處置 。