# CVE-2026-20320 Cisco BroadWorks เข้า KEV ขณะ Malbear Labs ระบุเอเจนต์ AI ใช้เป็นทางเข้า

> CISA เพิ่ม CVE-2026-20320 ช่องโหว่ XXE ใน Cisco BroadWorks เข้า KEV 10 พ.ย. 2026 ให้แก้ภายใน 24 พ.ย. ส่วน Malbear Labs ระบุว่าเอเจนต์ AI ใช้เป็นทางเข้าเครือข่าย

- ประเภท: ข่าว · หมวด: Cybersecurity
- เผยแพร่: 2026-11-11T05:53:00.000Z · อัปเดต: 2026-11-11T05:53:00.000Z
- โดย: กองบรรณาธิการ THAI DATA, THAI DATA IT BUSINESS ENTERPRISE
- ที่มา: https://thaidata.co.th/security/cisco-broadworks-cve-2026-20320-kev-ai-intrusion/

## สรุปประเด็นสำคัญ

- **10 พฤศจิกายน 2026** CISA เพิ่ม **CVE-2026-20320** ของ Cisco BroadWorks เข้าแค็ตตาล็อก KEV จากหลักฐานการโจมตีจริง และให้หน่วยงานรัฐบาลกลางสหรัฐฯ แก้ภายใน **24 พฤศจิกายน 2026**
- Cisco ระบุว่าเป็นช่องโหว่ XXE ในตัวแยก XML ของ Open Client Interface ผู้โจมตีที่ไม่ต้องล็อกอินอ่านไฟล์สำคัญบนเครื่องได้ คะแนน CVSS 3.1 ที่ **7.5** และแก้ในรุ่น **RI.2026.07** โดยไม่มีวิธีบรรเทาชั่วคราว
- ประกาศของ Cisco เผยแพร่ตั้งแต่ **19 สิงหาคม 2026** และ ณ 11 พฤศจิกายน ยังเป็นฉบับ 1.0 ที่ระบุว่า Cisco PSIRT ไม่ทราบถึงการนำไปใช้โจมตี
- รายงาน Operation Snowball ของ Malbear Labs วันที่ **8 พฤศจิกายน 2026** ระบุว่าเอเจนต์ AI ที่ผู้สั่งการใช้ภาษาจีนใช้ CVE-2026-20320 เป็นทางเข้าเครือข่ายผู้ให้บริการโทรคมนาคมรายหนึ่งในยุโรปที่ไม่เปิดเผยชื่อ
- CISA เพิ่ม CVE-2026-111793 ของ Openwave Webtop Media Transcoder เข้า KEV วันเดียวกัน ซึ่ง Openwave แก้ไว้ตั้งแต่รุ่น 1.1.22.0 ปี 2021

CISA เพิ่ม CVE-2026-20320 ช่องโหว่ XML External Entity (XXE) ใน Cisco BroadWorks เข้าแค็ตตาล็อก Known Exploited Vulnerabilities (KEV) เมื่อ 10 พฤศจิกายน 2026 (เวลาสหรัฐฯ) จากหลักฐานการโจมตีจริง และให้หน่วยงานรัฐบาลกลางสหรัฐฯ แก้ภายใน 24 พฤศจิกายน ช่องโหว่นี้ได้คะแนน CVSS 3.1 ที่ 7.5 และ Cisco แก้แล้วในรุ่น RI.2026.07 ตั้งแต่ออกประกาศเมื่อ 19 สิงหาคม 2026

สองวันก่อนหน้านั้น Malbear Labs เผยแพร่รายงาน Operation Snowball ระบุว่าเอเจนต์ AI ที่ผู้สั่งการใช้ภาษาจีนใช้ CVE-2026-20320 เป็นทางเข้าเครือข่ายของผู้ให้บริการโทรคมนาคมรายหนึ่งในยุโรป Malbear Labs ไม่เปิดเผยชื่อผู้เสียหาย จึงยังไม่มีการยืนยันจากฝั่งผู้ให้บริการรายนั้น และ CISA ไม่ได้ระบุว่าหลักฐานการโจมตีที่ใช้มาจากเหตุการณ์ใด

## CVE-2026-20320 คืออะไร: XXE ในตัวแยก XML ของ BroadWorks

ประกาศ cisco-sa-bworks-xxe-uwUd7CEt ของ Cisco อธิบายว่าช่องโหว่อยู่ในตัวแยก XML ของ Open Client Interface (OCI) เพราะระบบเปิดให้ resolve external entity เป็นค่าเริ่มต้น ผู้โจมตีจากระยะไกลที่ไม่ต้องล็อกอินจึงส่งข้อความ XML ที่สร้างขึ้นเฉพาะไปยังบริการ Open Client Interface - Provisioning (OCI-P) แล้วอ่านไฟล์สำคัญบนเครื่องได้ด้วยสิทธิ์ของผู้ใช้ BroadWorks

| หัวข้อ | ข้อมูลจาก Cisco |
| --- | --- |
| คะแนน CVSS 3.1 | 7.5 (High) ผลกระทบด้านการรักษาความลับระดับสูง ไม่กระทบความถูกต้องและความพร้อมใช้งาน |
| CWE | CWE-611 |
| ประกาศฉบับแรก | 19 สิงหาคม 2026 |
| ผลิตภัณฑ์ที่ได้รับผลกระทบ | Application Delivery Platform, Application Server, Profile Server, Xtended Services Platform |
| รุ่นที่ได้รับผลกระทบ | ก่อน RI.2026.07 |
| รุ่นแรกที่แก้ | RI.2026.07 |
| วิธีบรรเทาชั่วคราว | ไม่มี |
| ผู้รายงาน | Sandesh M Gawai |

สำหรับ Application Delivery Platform Cisco ระบุในเชิงอรรถว่าส่วนที่เกี่ยวข้องคือ Open Client Server (OCS) และ OCIOverSoap ส่วนหัวข้อการโจมตี ณ 11 พฤศจิกายน 2026 ประกาศยังเป็นฉบับ 1.0 ที่เขียนว่า Cisco PSIRT ไม่ทราบถึงการประกาศต่อสาธารณะหรือการนำช่องโหว่ไปใช้ในทางร้าย

![ประกาศของ Cisco เรื่อง CVE-2026-20320 ใน BroadWorks คะแนน 7.5 เผยแพร่ 19 สิงหาคม 2026 และไม่มีวิธีบรรเทาชั่วคราว](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/cisco-broadworks-cve-2026-20320-kev-ai-intrusion/cisco-advisory-cve-2026-20320.webp?v=66124383) _(ภาพ: Cisco (ภาพหน้าจอ))_

## CVE-2026-20320 ใน KEV: เพิ่ม 10 พ.ย. แก้ภายใน 24 พ.ย.

ประกาศของ CISA วันที่ 10 พฤศจิกายน 2026 เพิ่มช่องโหว่ 6 รายการเข้า KEV ได้แก่ Cisco BroadWorks, Barracuda สองรายการ, Openwave Webtop, Microsoft Office Outlook และ Google Chromium รายการของ CVE-2026-20320 ระบุว่ายังไม่ทราบว่าถูกใช้ในแคมเปญแรนซัมแวร์หรือไม่ และไม่ได้กำหนดให้ทำ Forensic triage ตาม BOD 26-04 เหมือนบางรายการ CISA ระบุว่าคำสั่งนี้บังคับเฉพาะหน่วยงานพลเรือนของรัฐบาลกลางสหรัฐฯ แต่สนับสนุนให้ทุกองค์กรจัดลำดับแก้ช่องโหว่ใน KEV ก่อน

![ประกาศของ CISA วันที่ 10 พฤศจิกายน 2026 เพิ่ม 6 ช่องโหว่เข้า KEV โดยรายการแรกคือ Cisco BroadWorks](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/cisco-broadworks-cve-2026-20320-kev-ai-intrusion/cisa-alert-10-nov-broadworks.webp?v=2a5d6c6f) _(ภาพ: CISA (ภาพหน้าจอ))_

หน้า NVD ของ CVE-2026-20320 ยังไม่มีคะแนนที่ NVD ประเมินเอง แสดงเพียงคะแนน 7.5 ของ Cisco และในรายการอ้างอิง CISA-ADP ได้เพิ่มลิงก์รายงานของ Malbear Labs พร้อมป้าย Exploit และ Third Party Advisory ไว้ด้วย

![หน้า NVD ของ CVE-2026-20320 แสดงคะแนน 7.5 จาก Cisco และลิงก์รายงานของ Malbear Labs ที่ติดป้าย Exploit](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/cisco-broadworks-cve-2026-20320-kev-ai-intrusion/nvd-cve-2026-20320-references.webp?v=3f4b1f35) _(ภาพ: NIST National Vulnerability Database (ภาพหน้าจอ))_

![ภาพสรุปข้อมูลหลักของ CVE-2026-20320 จาก Cisco และ CISA](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/cisco-broadworks-cve-2026-20320-kev-ai-intrusion/cve-2026-20320-key-dates.webp?v=087737ca) _(ภาพ: THAI DATA (ข้อมูล: Cisco และ CISA))_

## Malbear Labs: เอเจนต์ AI ใช้ CVE-2026-20320 เป็นทางเข้า

รายงานของ Malbear Labs เว็บไซต์วิจัยภัยคุกคามที่เผยแพร่ 8 พฤศจิกายน 2026 ระบุว่าการสแกนหาไดเรกทอรีที่เปิดค้างไว้บนอินเทอร์เน็ตพบพื้นที่ทำงานทั้งชุดของระบบเอเจนต์โจมตีอัตโนมัติ ทั้งบันทึกเซสชันมากกว่า 70 ชุด เครื่องมือ ข้อมูลรหัสผ่านที่ขโมยมา และรายงานที่เอเจนต์เขียนเอง ทุกข้อความที่ผู้สั่งการพิมพ์และที่เอเจนต์ตอบกลับเป็นภาษาจีน

- **เป้าหมาย** ผู้ให้บริการโทรคมนาคมรายหนึ่งในยุโรป และองค์กรที่ใช้ดาต้าเซ็นเตอร์และคลาวด์ของผู้ให้บริการนั้น เอเจนต์ระบุชื่อองค์กร 13 แห่งว่าอยู่ในขอบเขต
- **ทางเข้า** เอเจนต์ใช้ CVE-2026-20320 กับ BroadWorks Xtended Services Platform (XSP) รุ่น 23.0.1.1075 แล้วได้กุญแจส่วนตัวที่ระบบใช้ยืนยันตัวตนระหว่างส่วนประกอบ ชุดข้อมูล SSL และกุญแจส่วนตัวอื่น
- **ผลที่ตามมา** Malbear Labs ระบุว่าเอเจนต์ทำงานแทบไม่มีคนคุมนานกว่าสองสัปดาห์ สำรวจทรัพย์สินได้หลายร้อยรายการ ได้ข้อมูลรหัสผ่านหลายสิบชุด และดึงข้อมูลการเรียกเก็บเงินและอุปกรณ์ของผู้ใช้บริการหลายพันแถว
- **เครื่องมือ** ระบบสร้างบนโมเดล DeepSeek Flash โดยผู้สั่งการใช้ system prompt ปิดกลไกป้องกันของโมเดล และ Malbear Labs ไม่พบการปฏิเสธคำสั่งเลยในบันทึกที่กู้ได้

Malbear Labs ไม่เผยแพร่ที่อยู่ IP ของไดเรกทอรีดังกล่าวเพื่อปกป้ององค์กรที่ได้รับผลกระทบ และประเมินความเร็วของเอเจนต์ไว้ว่า "A human penetration tester working the same environment with equivalent tooling would not cover this scope in a little over two weeks without a team." หมายถึงนักทดสอบเจาะระบบคนเดียวที่ใช้เครื่องมือเท่ากันทำงานขอบเขตนี้ให้เสร็จในราวสองสัปดาห์ไม่ได้ถ้าไม่มีทีม

![หน้ารายงาน Operation Snowball ของ Malbear Labs เผยแพร่ 8 พฤศจิกายน 2026](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/cisco-broadworks-cve-2026-20320-kev-ai-intrusion/malbear-operation-snowball-report.webp?v=c33993c4) _(ภาพ: Malbear Labs (ภาพหน้าจอ))_

## Openwave Webtop: อีกรายการใน KEV วันเดียวกัน

CISA เพิ่ม CVE-2026-111793 ของ Openwave Messaging Webtop Media Transcoder เข้า KEV วันเดียวกันและกำหนดแก้ 24 พฤศจิกายนเช่นกัน ประกาศ CAN-2026-2032674 ของ Openwave ระบุว่า Media Transcoder ไม่บังคับใช้ข้อจำกัดชนิดไฟล์ที่ผู้ดูแลระบบตั้งไว้ ผู้ใช้ที่ล็อกอินแล้วจึงแปลงไฟล์ชนิดที่ไม่ได้ตั้งใจได้หากเลี่ยงหน้าเว็บเมล คะแนน CVSS 3.1 ที่ 4.3 กระทบรุ่นก่อน 1.1.22.0 ซึ่งออกเมื่อ 6 ธันวาคม 2021 และ Openwave แนะนำให้อัปเกรดเป็น Media Server 2.0 รุ่นล่าสุดที่ยังรองรับ

![ประกาศ CAN-2026-2032674 ของ Openwave เรื่อง Webtop Media Transcoder คะแนน 4.3](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/cisco-broadworks-cve-2026-20320-kev-ai-intrusion/openwave-webtop-can-2026-2032674.webp?v=90bbd4c4) _(ภาพ: Openwave Messaging บน GitHub (ภาพหน้าจอ))_

## ทำไม CVE-2026-20320 จึงสำคัญ

- **ฐานผู้ใช้กว้าง** Cisco ระบุว่า BroadWorks รองรับผู้ใช้ธุรกิจมากกว่า 26 ล้านคน และให้บริการผ่านผู้ให้บริการพาร์ตเนอร์มากกว่า 450 รายในกว่า 80 ประเทศ องค์กรที่ไม่ได้ติดตั้ง BroadWorks เองจึงอาจได้รับผลผ่านผู้ให้บริการโทรศัพท์บนคลาวด์
- **คะแนน 7.5 ไม่ได้แปลว่าเสี่ยงน้อย** ช่องโหว่อ่านไฟล์อย่างเดียว แต่ตามรายงานของ Malbear Labs ไฟล์ที่อ่านได้มีกุญแจส่วนตัวและรหัสผ่าน ซึ่งพาไปสู่ระบบอื่นต่อได้
- **แพตช์มีมานานแล้ว** Cisco ออกประกาศตั้งแต่ 19 สิงหาคม แต่ช่องโหว่เพิ่งเข้า KEV ในเดือนพฤศจิกายน ระบบที่ยังไม่อัปเกรดคือเป้าที่ชัดที่สุด
- **การโจมตีที่ใช้ AI ทำงานต่อเนื่อง** Malbear Labs ระบุว่าเอเจนต์หลักสั่งงานเอเจนต์ย่อยพร้อมกันหลายงานและปรับตัวตามระบบป้องกันโดยไม่ต้องรอคำสั่ง ทีมรักษาความปลอดภัยจึงไม่ควรรอให้ช่องโหว่เข้า KEV ก่อนลงแพตช์ ช่องโหว่อื่นที่เข้า KEV วันเดียวกันอย่าง Outlook อ่านได้ที่[Microsoft Patch Tuesday พฤศจิกายน 2026](/security/microsoft-patch-tuesday-november-2026-outlook-zero-day/)

## สิ่งที่องค์กรไทยควรทำกับ CVE-2026-20320

1. **ผู้ให้บริการที่ใช้ BroadWorks** ตรวจรุ่นของ Application Delivery Platform, Application Server, Profile Server และ Xtended Services Platform แล้วอัปเกรดเป็น RI.2026.07 เพราะ Cisco ไม่มีวิธีบรรเทาชั่วคราว
2. **จำกัดการเข้าถึงบริการ OCI-P, OCS และ OCIOverSoap** ให้เฉพาะเครือข่ายที่จำเป็นระหว่างรออัปเกรด
3. **ถ้าเคยเปิดบริการเหล่านี้สู่อินเทอร์เน็ตโดยยังไม่แพตช์** ให้ถือว่ากุญแจส่วนตัว ใบรับรอง และรหัสผ่านบนเครื่องอาจรั่วแล้ว เปลี่ยนใหม่ และตรวจว่ารหัสผ่านชุดเดียวกันถูกใช้กับอุปกรณ์อื่นหรือไม่
4. **องค์กรที่ใช้บริการโทรศัพท์บนคลาวด์** สอบถามผู้ให้บริการว่าใช้ BroadWorks หรือไม่ และอัปเกรดแล้วหรือยัง
5. **ผู้ใช้ Openwave Webtop** ตรวจรุ่น Media Transcoder และอัปเกรดตามคำแนะนำของ Openwave

## บริการของ THAI DATA CLOUD ที่เกี่ยวข้อง

ช่องโหว่ที่มีแพตช์ตั้งแต่เดือนสิงหาคมแต่เพิ่งเข้า KEV ในเดือนพฤศจิกายนเตือนว่าระบบที่ไม่มีคนติดตามรอบแพตช์ยังเป็นเป้า [Managed Cloud Services](https://msp.thaidata.cloud/services/managed-cloud-services/) ของ THAI DATA CLOUD ดูแลตั้งแต่ติดตั้ง บริหาร ไปจนถึง Monitoring ระบบคลาวด์ขององค์กรตลอด 24 ชั่วโมง ให้ทีมไอทีภายในโฟกัสงานหลักได้ (THAI DATA CLOUD เป็นผู้ดำเนินงานเว็บไซต์นี้)

ติดตามข่าวความปลอดภัยไซเบอร์อื่น ๆ ได้ที่[หมวด Security](/security/)

## คำถามที่พบบ่อย

### CVE-2026-20320 คืออะไร?

CVE-2026-20320 คือช่องโหว่ XML External Entity (XXE) ในตัวแยก XML ของ Open Client Interface ใน Cisco BroadWorks Cisco ระบุว่าผู้โจมตีที่ไม่ต้องล็อกอินส่งข้อความ XML ที่สร้างขึ้นเฉพาะไปยังบริการ OCI-P แล้วอ่านไฟล์สำคัญบนเครื่องได้ด้วยสิทธิ์ของผู้ใช้ BroadWorks คะแนน CVSS 3.1 ที่ 7.5

### Cisco BroadWorks รุ่นไหนแก้ CVE-2026-20320 แล้ว?

Cisco ระบุว่ารุ่นก่อน RI.2026.07 ของ BroadWorks Application Delivery Platform, Application Server, Profile Server และ Xtended Services Platform ได้รับผลกระทบ และรุ่นแรกที่แก้ CVE-2026-20320 คือ RI.2026.07 โดยไม่มีวิธีบรรเทาชั่วคราว

### CVE-2026-20320 ถูกโจมตีจริงหรือไม่?

CISA เพิ่ม CVE-2026-20320 ในแค็ตตาล็อก KEV เมื่อ 10 พฤศจิกายน 2026 จากหลักฐานการโจมตีจริง และ Malbear Labs รายงานว่าเอเจนต์ AI ใช้ช่องโหว่นี้เข้าเครือข่ายผู้ให้บริการโทรคมนาคมในยุโรป ส่วนประกาศของ Cisco ฉบับ 1.0 ยังระบุว่าไม่ทราบถึงการนำไปใช้โจมตี

### องค์กรที่ใช้บริการโทรศัพท์บนคลาวด์ต้องทำอะไรกับ CVE-2026-20320?

Cisco ระบุว่า BroadWorks ให้บริการผ่านผู้ให้บริการพาร์ตเนอร์มากกว่า 450 รายในกว่า 80 ประเทศ องค์กรที่ใช้บริการโทรศัพท์บนคลาวด์ควรสอบถามผู้ให้บริการว่าระบบ BroadWorks ได้อัปเกรดเป็น RI.2026.07 เพื่อแก้ CVE-2026-20320 แล้วหรือยัง


## แหล่งอ้างอิง

- [Cisco BroadWorks Out-of-Band Blind XML External Entity Injection Vulnerability](https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-bworks-xxe-uwUd7CEt) — Cisco
- [CISA Adds Six Known Exploited Vulnerabilities to Catalog](https://www.cisa.gov/news-events/alerts/2026/11/10/cisa-adds-six-known-exploited-vulnerabilities-catalog) — CISA
- [Operation Snowball: Inside an Autonomous AI Intrusion Campaign](https://malbearlabs.com/posts/operation-snowball-inside-an-autonomous-ai-intrusion-campaign) — Malbear Labs
- [CVE-2026-20320 Detail](https://nvd.nist.gov/vuln/detail/CVE-2026-20320) — NIST National Vulnerability Database
- [Openwave Messaging (Ireland) Ltd - Public Security Advisory CAN-2026-2032674](https://github.com/GISOpenwave/security-advisories-public/blob/main/CAN-2026-2032674.md) — Openwave Messaging
- [Cisco BroadWorks - Cloud Calling and Collaboration](https://www.cisco.com/c/en/us/products/unified-communications/broadworks/index.html) — Cisco