发生了什么
Cisco BroadWorks 的 XML 外部实体（XXE）漏洞 CVE-2026-20320 已于 2026 年 11 月 10 日被 CISA 列入已知被利用漏洞目录（KEV），联邦机构修复期限为 2026 年 11 月 24 日。该漏洞的 Cisco 安全通告（cisco-sa-bworks-xxe-uwUd7CEt）早在 2026 年 8 月 19 日就已发布，修复版本也已提供多时；此次 KEV 列入意味着 CISA 掌握了该漏洞在野利用的可靠证据，尚未升级的用户需要尽快行动。
该漏洞 CVSS 3.1 评分为 7.5（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N），弱点类型为 CWE-611（对 XML 外部实体引用的不恰当限制），Cisco 评级为 High。需要说明的是：Cisco 在 8 月通告中称，当时未发现该漏洞的公开利用或恶意使用情况；KEV 列入是 11 月 10 日的新进展，是比通告发布时更新的利用证据。
影响范围
受影响的是运行存在漏洞的 Cisco BroadWorks 版本的以下产品（与设备配置无关）：BroadWorks Application Delivery Platform、BroadWorks Application Server、BroadWorks Profile Server、BroadWorks Xtended Services Platform。具体为低于 RI.2026.07 的版本。
从概念上讲，问题出在 BroadWorks 开放客户端接口（OCI）的 XML 解析器：解析器默认允许解析外部实体。未认证的远程攻击者向 OCI-Provisioning（OCI-P）服务发送一份特制 XML 消息，即可读取系统文件系统上的敏感配置文件，读取权限为 Cisco BroadWorks 用户的权限。Cisco 明确指出，该漏洞没有可用的变通办法。
修复版本
Cisco 已发布修复版本，四款产品的首个修复版本均为 RI.2026.07：低于 RI.2026.07 的版本受影响，RI.2026.07 及更高版本已修复。Cisco 建议用户升级到通告中注明的修复版本。
自查与升级步骤
- 确认所用 BroadWorks 各组件（Application Delivery Platform、Application Server、Profile Server、Xtended Services Platform）的版本号，是否低于 RI.2026.07。
- 低于修复版本的，尽快升级到 RI.2026.07 或更高版本；升级前确认设备内存与配置满足新版本要求，升级后复核版本号。
- 在完成升级之前，收紧 OCI-Provisioning（OCI-P）服务的网络可达性，仅允许可信系统访问，降低未认证访问面。
- 检查相关系统上敏感配置文件的访问记录，如发现异常访问，按组织流程处置并联系 Cisco 技术支持。
与本栏目其他指南一致：本文只讲防御——受影响版本、修复版本与自查步骤，不写利用细节。