2026年11月10日、米CISA(サイバーセキュリティ・インフラセキュリティ庁)はCisco BroadWorksに存在するXML外部エンティティ参照に関する脆弱性「CVE-2026-20320」を、実際に悪用が確認された脆弱性の一覧である「Known Exploited Vulnerabilities(KEV)カタログ」に追加した。この脆弱性は、認証を受けていない遠隔の攻撃者が、対象システム上の機密性の高い設定情報を読み取れてしまうというものだ。BroadWorksは通信事業者やサービスプロバイダーが音声・ユニファイドコミュニケーションサービスを提供するための基盤プラットフォームであり、これを運用する組織は影響を受ける可能性がある。米連邦機関には2026年11月24日までの対応が義務付けられており、民間企業や通信事業者も同様のスピード感での対応が強く推奨される。BroadWorksは多くの通信事業者が音声サービスの裏側で稼働させている基盤であるため、直接のエンドユーザーからは見えにくい一方、ひとたび設定情報が漏洩すれば、その上で動く多数の加盟サービスプロバイダーや契約者のサービスにまで影響が波及しかねない点にも注意が必要だ。
脆弱性の概要と影響を受ける製品
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-20320 |
| ベンダー | Cisco |
| 製品 | BroadWorks |
| 脆弱性名 | Improper Restriction of XML External Entity Reference Vulnerability(XXE) |
| CWE分類 | CWE-611(XML外部エンティティ参照の不適切な制限) |
| 影響の内容 | 未認証・遠隔からの機密設定情報の読み取り |
| KEVカタログ登録日 | 2026年11月10日 |
| 米連邦機関の対応期限 | 2026年11月24日 |
| ランサムウェアでの悪用 | 不明(現時点で確認情報なし) |
影響を受ける具体的なバージョンやエディション、修正バージョンについては、公式情報(CISA KEVカタログ)には明記されていない。該当環境を運用している場合は、詳細はベンダーのセキュリティアドバイザリを確認してください。CISAのKEVエントリは「どのバージョンが脆弱か」という技術的な詳細よりも、「悪用が確認されたため直ちに対応すべき」という優先度の指標として機能する点を理解しておくとよい。
XXE脆弱性の技術的背景
XXE(XML External Entity)は、XMLパーサーが文書内で定義された外部エンティティ参照を処理してしまうことに起因する脆弱性のカテゴリで、CWE-611として分類される。XML 1.0の仕様上、文書型定義(DTD)の中で外部のファイルやURLを参照するエンティティを宣言できるが、アプリケーションがこの機能を無効化せずに外部から受け取ったXMLを解析していると、攻撃者は悪意のあるエンティティ定義を含むXMLを送り込むことで、サーバー上のローカルファイルの内容を読み取ったり、サーバー自身に内部ネットワークへのリクエストを発行させたりできる場合がある。今回のCVE-2026-20320では、影響範囲が機密性(情報漏洩)に限定されており、完全性や可用性への直接的な影響はないとされているが、読み取られる「機密性の高い設定情報」の中に認証情報や内部構成情報が含まれていれば、それを足掛かりにした二次攻撃につながるおそれもある。
深刻度と悪用状況
本脆弱性のCVSS 3.1スコアは7.5(HIGH)で、ベクトル文字列はCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:Nとなっている。これは、攻撃者がネットワーク経由(AV:N)でアクセスでき、特別な権限(PR:N)やユーザーの操作(UI:N)を必要とせず、攻撃の実行難易度も低い(AC:L)ことを示す。影響は機密性(C:H)に大きく及ぶ一方、完全性(I:N)や可用性(A:N)への直接的な影響はないとされている。攻撃元の権限や事前のユーザー操作が不要という点は、インターネットに公開された管理インターフェースやAPIエンドポイントが存在する場合、攻撃者にとって極めてハードルの低い侵入経路になり得ることを意味する。
最も注視すべき点は、この脆弱性がCISAのKEVカタログに登録されているという事実そのものだ。KEVカタログへの登録は「概念実証(PoC)が存在する」という段階ではなく、「実際の攻撃で悪用されたことが確認されている」ことを意味する。そのため、通常の脆弱性対応よりも優先度を上げて、速やかな対応が求められる。また、CISAは今回の対応について、2026年に新設された指令「BOD 26-04(Prioritizing Security Updates Based on Risk)」に基づくガイダンスの順守も求めている。これはリスクの高さに応じてセキュリティ更新の優先順位を決める枠組みであり、連邦機関だけでなく、同様のリスクベースの考え方は民間事業者の脆弱性管理にも参考になる。
ベンダーはどんな修正を行ったか
公式情報には、修正の具体的な実装内容や修正済みバージョン番号は記載されていない。XXE(XML外部エンティティ)脆弱性は、XMLパーサーが外部エンティティ参照を許可する設定になっている場合に、本来アクセスできないはずのファイルや内部情報が読み取られてしまう問題として知られている一般的な脆弱性カテゴリ(CWE-611)である。こうした脆弱性の対処としては、XMLパーサー側で外部エンティティの解析を無効化する、あるいはDTD(文書型定義)の処理を制限するといった実装変更が一般的に行われる。一般的なソフトウェア開発の現場では、こうした修正は後方互換性への配慮やパフォーマンスへの影響を検証した上でリリースされることが多く、パッチ公開までに一定の期間を要することも珍しくない。
ただし、Cisco BroadWorksにおける今回の修正内容の詳細、対象コンポーネント、修正版のリリース状況については、本記事の執筆時点で参照している公式情報の範囲では確認できない。詳細はベンダーのセキュリティアドバイザリを確認してください。
今すぐやるべき対策手順
BroadWorksを運用している、または運用を委託している事業者は、以下の手順で対応状況を確認することを推奨する。
- ①バージョン確認:運用中のBroadWorksのバージョン・ビルド情報を確認し、ベンダーのセキュリティアドバイザリに記載された対象範囲に該当するかを確認する。
- ②アップデートの適用:ベンダーから修正パッチや修正バージョンが提供されている場合は、検証環境での動作確認を経た上で速やかに適用する。本番環境へ適用する前に、ステージング環境で既存の連携機能やAPI呼び出しに不具合が生じないかを確認しておくと、適用後のトラブルを避けやすい。
- ③回避策の検討:即時のアップデートが困難な場合は、管理インターフェースへのアクセス制限、不要な外部公開の停止、WAFやファイアウォールによるアクセス制御など、ベンダー指示に沿った緩和策を暫定的に実施する。
- ④侵害有無の確認:アクセスログやシステムログを確認し、不審なリクエストや想定外の設定情報の読み出しが発生していないかを確認する。侵害の兆候がある場合は、組織のインシデント対応手順に従い対応する。CISAは侵害が疑われる場合、フォレンジック調査に必要なログを事前に保全しておく「Forensics Triage Requirements」の考え方に沿った対応も推奨している。
- ⑤継続的な棚卸し:インターネットに公開されている資産を定期的に棚卸しし、公開の必要性と露出範囲を見直す。
よくある質問
Q1. この脆弱性は実際に攻撃で使われているのか?
A1. CISAのKEVカタログに登録されているという事実が、実際の攻撃での悪用が確認されたことを示している。そのため、他の未登録の脆弱性よりも優先的な対応が必要と考えられる。
Q2. ランサムウェア攻撃と関連があるのか?
A2. 公式情報では、ランサムウェアキャンペーンでの悪用については「不明」とされており、現時点でそうした関連を示す確認情報はない。
Q3. 米連邦機関以外の組織も対応期限を守る必要があるのか?
A3. CISAの対応期限は法的には米連邦機関を対象としたものだが、KEVカタログ登録は実際の悪用が確認済みであることを意味するため、民間企業や通信事業者も同じスケジュール感を目安に、できるだけ速やかに対応を進めることが望ましい。
まとめ
Cisco BroadWorksのXXE脆弱性(CVE-2026-20320)は、未認証の遠隔攻撃者による機密設定情報の読み取りを許す恐れがあり、CISAのKEVカタログで実際の悪用が確認されたと公表されている。CVSSスコアは7.5(HIGH)で、米連邦機関には2026年11月24日までの対応期限が設定されている。BroadWorksを運用する組織は、まずはベンダーのセキュリティアドバイザリを確認し、対象バージョンの特定、修正適用、暫定的な緩和策、ログ確認による侵害有無の点検を速やかに進めることが求められる。
