要点
- 米国の CISA は 2026年11月10日（米国時間）、Cisco BroadWorks と Openwave の欠陥を「悪用が確認された欠陥」の一覧（KEV）に加えた。
- どちらも修正は出ているが、当てていない機器が狙われるおそれがある。
- BroadWorks の欠陥は、認証なしで外部から設定情報が読まれうるものだ。
何が起きたか
CISA は11月10日、悪用が確認された欠陥の一覧に6件を加えた。そのうち2件が、今回取り上げる Cisco と Openwave の製品の欠陥だ。
1つ目は Cisco BroadWorks の CVE-2026-20320。Cisco の advisory によると、認証なしで外部から、設定情報を読まれうる欠陥だ。深刻度の点数（CVSS）は 7.5 で「高」とされる。Cisco は2026年8月19日に公開した。回避策はなく、修正版への更新しか手がない。
2つ目は Openwave Messaging の Webtop Media Transcoder の CVE-2026-111793。文書を変換する部品の欠陥だ。Openwave の advisory によると、Webtop の画面を経由せずに使う場合、認証済みの利用者が、想定外の種類の文書を変換できてしまう可能性がある。点数は 4.3 で「中」。
CISA の告知は、悪用が確認されたことを示す。ただし、誰がどう悪用したか、被害がどれほどかは、今回確認した一次情報には書かれていない。攻撃者の名前も不明だ。なお Cisco の advisory には、公開時点で悪用は把握していないとある。その後に状況が変わったとみられるが、経緯は確認できていない。
Openwave 側の advisory は、識別番号が「CAN-」で始まる表記で、修正版の日付も2021年となっている。CISA の CVE 番号との対応は、原文で確かめてほしい。
日本の利用者への影響
日本の組織での利用状況や被害については、今回確認した一次情報に記述がなく、分からない。
自社で使っていなくても、委託先や契約している事業者が使っている可能性はある。自社の資産一覧と、委託先や電話・メールの事業者への問い合わせで確かめるのがよい。
今すぐやること
- 自社や委託先が BroadWorks か Openwave Messaging を使っているか確認する。電話・メールの事業者にも聞く。
- 使っているなら、版を調べる。BroadWorks は RI.2026.07 より前、Webtop Media Transcoder は 1.1.22.0 より前が対象だ。
- 対象なら、修正版に更新する。BroadWorks には回避策がない。更新が遅れるなら、管理用の入り口を外部から見えなくする。
- 更新前に悪用されていた可能性を考える。ログを見直し、設定情報の流出を疑って、パスワードや鍵の入れ替えを検討する。
- 異常を見つけたら、製品の提供元と、日本では JPCERT/CC などに相談する。
背景
CISA の KEV は、実際に悪用が確認された欠陥の一覧だ。CISA の指令 BOD 26-04 は、連邦機関に、危険度の高い欠陥の素早い修正を優先するよう求めている。KEV に載った CVE がその対象の目安になる。報道によると、今回の修正期限は11月24日だ。民間の組織にも、優先して直す目安として広く使われる。
今回の2件は、点数に差がある。それでも一覧に載ったのは、実際の悪用が確認されたためだ。修正の公開から時間がたった欠陥ほど、当て漏れが狙われやすい。
技術者向けの詳細
- CVE-2026-20320: Cisco BroadWorks、XXE（CWE-611）、CVSS 3.1 で 7.5（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N）。
- 対象: RI.2026.07 より前の Application Delivery Platform、Application Server、Profile Server、Xtended Services Platform。構成によらず影響を受ける。
- 修正: RI.2026.07。Application Delivery Platform では OCS と OCIOverSoap の部品が修正対象。回避策なし。
- 経路: Open Client Interface（OCI）の XML 解析部。OCI への外部からの到達性を確認する。
- CVE-2026-111793: Openwave Webtop Media Transcoder、CVSS 3.1 で 4.3。
- 対象: 1.1.22.0 より前。advisory は最新の Media Server 2.0 への更新を示す。回避策の記載なし。
- Openwave の advisory は識別子を CAN-2026-2032674 とし、CVE 番号を使っていない。
- 侵入の跡の具体的な一覧は、確認した一次情報にはない。OCI 宛ての不審な XML 要求と、設定ファイルの読み出しの形跡をログで探す。
- 一次情報: Cisco advisory（cisco-sa-bworks-xxe-uwUd7CEt）、Openwave の GitHub advisory、CISA の2026-11-10の告知。
