Cisco BroadWorks ช่องโหว่ XXE อ่านข้อมูลลับ CVE-2026-20320
ผู้ดูแลระบบ Cisco BroadWorks รุ่นที่ได้รับผลกระทบควรเร่งอัปเกรด เพราะช่องโหว่นี้ถูกใช้โจมตีจริงแล้ว
1-minute summary
- Symptom / problem
- ผู้โจมตีจากระยะไกลส่ง XML ที่สร้างขึ้นเป็นพิเศษเพื่ออ่านไฟล์ข้อมูลลับได้โดยไม่ต้องยืนยันตัวตน
- Who should read
- ผู้ดูแลระบบ Cisco BroadWorks ในองค์ประกอบที่ได้รับผลกระทบและใช้รุ่นก่อน RI.2026.07
- Fix in short
- อัปเกรดองค์ประกอบที่ได้รับผลกระทบเป็น RI.2026.07 หรือรุ่นที่ใหม่กว่าตามคำแนะนำ Cisco โดย CISA กำหนดเส้นตาย 24 พฤศจิกายน 2026
พอดีไล่ฟีด CISA KEV เจอ CVE-2026-20320 ของ Cisco BroadWorks ซึ่งเป็นช่องโหว่ XML External Entity หรือ XXE ที่ทำให้คนภายนอกอ่านข้อมูลตั้งค่าลับได้โดยไม่ต้องมีบัญชีเข้าใช้ระบบ ประเด็นที่ต้องเร่งจัดการคือมีการใช้ช่องโหว่นี้โจมตีจริงแล้ว โดย CISA เพิ่มเข้ารายการเมื่อ 10 พฤศจิกายน 2026 และกำหนดวันแก้ไขไว้ที่ 24 พฤศจิกายน 2026 ตามข้อมูล KEV ของ CISA
ใครต้องทำอะไร
- ผู้ดูแลระบบ: หากดูแล Cisco BroadWorks ในองค์ประกอบที่ได้รับผลกระทบและใช้รุ่นก่อน RI.2026.07 ให้เร่งอัปเกรดเป็นรุ่นที่แก้ไขโดยเร็ว เพราะมีการโจมตีจริงแล้ว
เกิดอะไรขึ้น
ปัญหาอยู่ในตัวอ่าน XML ของ Open Client Interface หรือ OCI ค่าเริ่มต้นยอมให้ XML อ้างถึงข้อมูลภายนอกผ่าน external entity ได้ ผู้โจมตีเลยส่ง XML ที่สร้างมาเป็นพิเศษไปยังบริการ Open Client Interface – Provisioning หรือ OCI-P เพื่ออ่านไฟล์ที่ไม่ควรเปิดเผย
ผู้โจมตีอ่านไฟล์สำคัญได้เท่าที่สิทธิ์ของบัญชี Cisco BroadWorks อนุญาต รวมถึงข้อมูลตั้งค่าที่เป็นความลับ ไม่ต้องล็อกอินและไม่ต้องให้ผู้ใช้กดอะไร ระเบียน CVE จัดเป็น CWE-611 และให้คะแนน CVSS 3.1 ที่ 7.5 ระดับ High ตามระเบียน CVE
แหล่งข้อมูลระบุสถานะการโจมตีต่างกัน ประกาศ Cisco วันที่ 19 สิงหาคม 2026 ยังบอกว่า PSIRT ไม่ทราบว่ามีการโจมตี แต่ KEV ฉบับ 10 พฤศจิกายน 2026 มีรายการนี้แล้ว ให้ใช้ข้อมูล KEV ที่ใหม่กว่าประกอบการเร่งแพตช์
ใครโดนและรุ่นที่แก้
Cisco ระบุว่าส่วนประกอบต่อไปนี้มีปัญหาเมื่อใช้รุ่นที่มีช่องโหว่ ไม่ว่าจะตั้งค่าอุปกรณ์แบบใด รุ่นแรกที่แก้ตรงกันทั้งหมดตามประกาศ Cisco
| องค์ประกอบ BroadWorks | รุ่นที่ได้รับผลกระทบ | รุ่นแรกที่แก้ไข |
|---|---|---|
| Application Delivery Platform — OCS และ OCIOverSoap | ก่อน RI.2026.07 | RI.2026.07 |
| Application Server | ก่อน RI.2026.07 | RI.2026.07 |
| Profile Server | ก่อน RI.2026.07 | RI.2026.07 |
| Xtended Services Platform | ก่อน RI.2026.07 | RI.2026.07 |
OCS ย่อมาจาก Open Client Server ตามหมายเหตุของ Cisco ใต้ตาราง Application Delivery Platform ให้ตรวจทุกส่วนประกอบที่ใช้งาน แต่ละส่วนอาจอัปเกรดไม่พร้อมกัน
ต้องทำอะไร
ทำรายการส่วนประกอบ BroadWorks และรุ่นที่ติดตั้ง อัปเกรดส่วนที่เก่ากว่า RI.2026.07 ไปยังรุ่นที่แก้ตามตาราง ก่อนลงมือควรตรวจว่ารุ่นใหม่ใช้ร่วมกับระบบเดิมได้ หากไม่แน่ใจขั้นตอน ให้ติดต่อ Cisco TAC หรือผู้ให้บริการดูแลระบบ
บันทึกรุ่นก่อนและหลังอัปเกรดของแต่ละส่วน แล้วทดสอบบริการหลังเปลี่ยนรุ่น ใช้รายการนี้ตรวจว่าอัปเกรดครบแล้ว
Cisco ระบุว่าไม่มีวิธีแก้ขัดที่จัดการช่องโหว่นี้ได้ ต้องอัปเกรดซอฟต์แวร์เป็นรุ่นที่แก้ไข
CISA กำหนดแก้ไขวันที่ 24 พฤศจิกายน 2026 และให้ทำตามคำแนะนำผู้ผลิต พร้อมตรวจว่าระบบเปิดให้เข้าถึงจากอินเทอร์เน็ตหรือไม่ หากไม่มีวิธีแก้ให้หยุดใช้ผลิตภัณฑ์ตามแนวทาง KEV ผู้ดูแลควรเริ่มตรวจรุ่นและวางแผนอัปเกรดทันที เพราะมีการโจมตีจริงแล้ว
ส่วนตัวผมมองว่าผู้ดูแล BroadWorks รุ่นที่ได้รับผลกระทบควรเร่งแพตช์ ไม่รอรอบบำรุงรักษาที่ยังไม่มีกำหนดแน่นอน ที่มา: CVE-2026-20320, Cisco Security Advisory และ CISA KEV เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first