思科于2026年8月19日披露并修复15个漏洞，涉及Crosswork、Secure Workload、BroadWorks等产品；其中8个漏洞按披露的CVSS评分属于严重级别。 最需要优先处理的版本包括Crosswork 7.2.1 SP、Secure Workload 3.10.9.1或4.0.4.16，以及BroadWorks RI.2026.07。 BroadWorks漏洞CVE 2026 20320的CVSS评分为7.5，未认证远程攻击者可通过构造XML消息读取敏感配置及目标系统上BroadWorks用户可访问的文件。 思科表示披露时尚未发现这些漏洞被公开利用或遭到恶意利用，且受影响问题均未提供替代缓解措施；升级到指定修复版本是主要处置方式。 What security vulnerabilities did Cisco disclose and patch on August 19, 2026, including the 15 flaws across its product portfolio, the Broa Illustration representing Cisco’s August 19, 2026 vulnerability fixes. AI 提示 Create a landscape editorial hero image for this Studio Global article: What security vulnerabilities did Cisco disclose and patch on August 19, 2026, including the 15 flaws across its product portfolio, the Broa. Article summary: Cisco disclosed 15 vulnerabilities on August 19, 2026: nine critical issues in Crosswork and Secure Workload, one high-severity BroadWorks XXE flaw, and five medium-severity flaws in Unified Intelligence Center, RoomOS, . Topic tags: general, education, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake nu
openai.com 思科在2026年8月19日发布的一批安全公告中，覆盖其产品组合的15个漏洞。风险最集中的两条产品线是Cisco Crosswork和Cisco Secure Workload：前者有4个严重漏洞，后者有4个按CVSS评分达到严重级别的漏洞，最高评分均为10.0。此次更新还修复了BroadWorks中的一个无需认证的XML外部实体（XXE）漏洞，以及Unified Intelligence Center、RoomOS、Industrial Ethernet 1000系列交换机和Contact Center产品中的中危漏洞。
思科表示，在发布公告时并不知道这些漏洞已被公开披露或遭到恶意利用。公告也没有为受影响产品列出可用的临时解决方案，因此，管理员应将核对版本并部署指定软件更新作为首要行动。
先看重点
此次共披露并修复 15个漏洞 。
Crosswork包含4个严重漏洞；Secure Workload包含5个漏洞，其中4个为严重级别、1个为高危级别。
BroadWorks的 CVE-2026-20320 评分为 CVSS 7.5 ，可被未认证远程攻击者利用，以读取敏感数据。
Crosswork应升级至 7.2.1-SP 。
Secure Workload 3.10分支应升级至
人们还问 “思科修复15个漏洞，Crosswork与Secure Workload成重点”的简短答案是什么？ 思科于2026年8月19日披露并修复15个漏洞，涉及Crosswork、Secure Workload、BroadWorks等产品；其中8个漏洞按披露的CVSS评分属于严重级别。
首先要验证的关键点是什么？ 思科于2026年8月19日披露并修复15个漏洞，涉及Crosswork、Secure Workload、BroadWorks等产品；其中8个漏洞按披露的CVSS评分属于严重级别。 最需要优先处理的版本包括Crosswork 7.2.1 SP、Secure Workload 3.10.9.1或4.0.4.16，以及BroadWorks RI.2026.07。
接下来在实践中我应该做什么？ BroadWorks漏洞CVE 2026 20320的CVSS评分为7.5，未认证远程攻击者可通过构造XML消息读取敏感配置及目标系统上BroadWorks用户可访问的文件。
思科于2026年8月19日披露并修复15个漏洞，涉及Crosswork、Secure Workload、BroadWorks等产品；其中8个漏洞按披露的CVSS评分属于严重级别。 最需要优先处理的版本包括Crosswork 7.2.1 SP、Secure Workload 3.10.9.1或4.0.4.16，以及BroadWorks RI.2026.07。 BroadWorks漏洞CVE 2026 20320的CVSS评分为7.5，未认证远程攻击者可通过构造XML消息读取敏感配置及目标系统上BroadWorks用户可访问的文件。 思科表示披露时尚未发现这些漏洞被公开利用或遭到恶意利用，且受影响问题均未提供替代缓解措施；升级到指定修复版本是主要处置方式。 What security vulnerabilities did Cisco disclose and patch on August 19, 2026, including the 15 flaws across its product portfolio, the Broa Illustration representing Cisco’s August 19, 2026 vulnerability fixes. AI 提示 Create a landscape editorial hero image for this Studio Global article: What security vulnerabilities did Cisco disclose and patch on August 19, 2026, including the 15 flaws across its product portfolio, the Broa. Article summary: Cisco disclosed 15 vulnerabilities on August 19, 2026: nine critical issues in Crosswork and Secure Workload, one high-severity BroadWorks XXE flaw, and five medium-severity flaws in Unified Intelligence Center, RoomOS, . Topic tags: general, education, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake nu
openai.com 思科在2026年8月19日发布的一批安全公告中，覆盖其产品组合的15个漏洞。风险最集中的两条产品线是Cisco Crosswork和Cisco Secure Workload：前者有4个严重漏洞，后者有4个按CVSS评分达到严重级别的漏洞，最高评分均为10.0。此次更新还修复了BroadWorks中的一个无需认证的XML外部实体（XXE）漏洞，以及Unified Intelligence Center、RoomOS、Industrial Ethernet 1000系列交换机和Contact Center产品中的中危漏洞。
思科表示，在发布公告时并不知道这些漏洞已被公开披露或遭到恶意利用。公告也没有为受影响产品列出可用的临时解决方案，因此，管理员应将核对版本并部署指定软件更新作为首要行动。
先看重点
此次共披露并修复 15个漏洞 。
Crosswork包含4个严重漏洞；Secure Workload包含5个漏洞，其中4个为严重级别、1个为高危级别。
BroadWorks的 CVE-2026-20320 评分为 CVSS 7.5 ，可被未认证远程攻击者利用，以读取敏感数据。
Crosswork应升级至 7.2.1-SP 。
Secure Workload 3.10分支应升级至
人们还问 “思科修复15个漏洞，Crosswork与Secure Workload成重点”的简短答案是什么？ 思科于2026年8月19日披露并修复15个漏洞，涉及Crosswork、Secure Workload、BroadWorks等产品；其中8个漏洞按披露的CVSS评分属于严重级别。
首先要验证的关键点是什么？ 思科于2026年8月19日披露并修复15个漏洞，涉及Crosswork、Secure Workload、BroadWorks等产品；其中8个漏洞按披露的CVSS评分属于严重级别。 最需要优先处理的版本包括Crosswork 7.2.1 SP、Secure Workload 3.10.9.1或4.0.4.16，以及BroadWorks RI.2026.07。
接下来在实践中我应该做什么？ BroadWorks漏洞CVE 2026 20320的CVSS评分为7.5，未认证远程攻击者可通过构造XML消息读取敏感配置及目标系统上BroadWorks用户可访问的文件。
3.10.9.1
4.0.4.16
受影响问题均未提供临时缓解措施。
Crosswork：3个CVSS 10.0漏洞加一个9.9漏洞 Crosswork Data Gateway、Crosswork Network Controller和Crosswork Planning的7.2.1及更早版本受到影响，思科要求客户升级到 7.2.1-SP 。
CVE-2026-20030 ：SQL注入，CVSS 10.0 。CVE-2026-20357 ：关键功能缺少身份验证，CVSS 10.0 。CVE-2026-20358 ：外部控制文件系统，CVSS 10.0 。CVE-2026-20359 ：凭据保护不足，CVSS 9.9 。 思科称，这些问题是在内部安全测试中发现的，测试过程包括使用前沿人工智能模型。思科没有报告已知恶意利用，也没有提供替代解决方案。
从潜在影响看，关键功能未认证访问、SQL注入、文件系统控制和凭据暴露同时出现在同一批产品更新中，意味着暴露在外网的管理基础设施，或与敏感网络系统相连的Crosswork部署，需要特别优先处理。不过，CVSS评分反映的是漏洞的潜在影响，并不等于已经确认这些漏洞正在野外被利用。
Secure Workload：需要同步更新多个组件 Cisco Secure Workload的SaaS和本地部署均受到影响。3.10分支及更早版本的修复版本为 3.10.9.1 ，4.0分支的修复版本为 4.0.4.16 。对于本地部署，客户需要更新所有适用的Cluster、Agent和Connector组件；思科表示，SaaS Cluster已经完成更新。
CVE-2026-20231 ：命令、操作系统或参数注入，CVSS 9.9 。CVE-2026-20315 ：访问控制不当，CVSS 10.0 。CVE-2026-20317 ：身份验证不当，CVSS 10.0 。CVE-2026-20318 ：输入验证不当，涉及路径遍历和外部路径控制等问题，CVSS 9.6 。CVE-2026-20319 ：缓冲区溢出或越界写入，CVSS 7.5 。 需要注意的是，CVE-2026-20319的评分为高危，而不是严重；其余4个Secure Workload漏洞按照公告列出的CVSS评分属于严重级别。思科将这些问题归因于内部测试流程，并表示尚未发现已知利用或提供可用的临时解决方案。
BroadWorks：未认证远程XXE可读取敏感文件 CVE-2026-20320 影响Cisco BroadWorks的Open Client Interface（OCI）XML解析器。这是一个高危、无需身份验证的远程盲XXE漏洞，CVSS评分为 7.5 。由于默认启用了外部实体解析，攻击者可以向OCI-P服务发送特制XML消息，从而读取敏感配置信息，以及BroadWorks用户有权限访问的文件。
BroadWorks Application Delivery Platform
BroadWorks Application Server
BroadWorks Profile Server
BroadWorks Xtended Services Platform
由于该漏洞无需认证且可通过OCI-P服务远程触发，BroadWorks运营方不应仅因目前没有公开利用证据就推迟处置。应先核对版本，再尽快部署RI.2026.07。
其他产品中的5个中危漏洞
Unified Intelligence Center：CVE-2026-20327 这是一个需要身份验证、可在本地触发的盲SQL注入漏洞，CVSS评分为 6.5 。拥有有效账户的用户可能通过Web管理界面读取内部数据库中的数据。
思科列出的修复版本为 12.6(2) ES08 和 15.0(1) SU2 ；低于12.6的版本必须迁移到受支持的修复版本。思科将漏洞发现归功于 Spark Professional Services的Hesham Ahmed ，没有提供临时解决方案，也没有报告已知恶意利用。
RoomOS：CVE-2026-20302 RoomOS USB驱动程序栈中的漏洞评分为 CVSS 6.1 。攻击需要物理USB访问权限，但成功利用后可能以root权限执行任意代码。
本地部署的修复版本为 11.32.7.0 和 26.7.2.2 ；云感知部署的修复版本为 11.40.1.1 和 26.7.1.12 。思科将漏洞发现归功于北约网络安全中心的 Jean-Michel Huguet ，并表示没有已知利用或临时解决方案。
Industrial Ethernet 1000系列交换机 这两个漏洞均在 1.9.6版 中修复；低于1.9的版本需要迁移到已修复版本。
CVE-2026-20232 ：存储型跨站脚本（XSS），CVSS 5.4 。经过身份验证的远程用户可以注入脚本，并使其在另一名管理界面用户的上下文中执行。思科将发现归功于 Rockwell Automation 。CVE-2026-20177 ：管理平面流量泛洪导致的拒绝服务，CVSS 5.3 。未认证攻击者可以泛洪ICMP、SSH或HTTP流量，使图形界面、SSH或API不可用，但数据转发不受影响。该问题由思科内部发现。 思科没有为这两个漏洞提供临时解决方案，也没有报告已知恶意利用。
Packaged CCE和Unified CCE：CVE-2026-20314 这是一个需要身份验证的远程服务器端请求伪造（SSRF）漏洞，CVSS评分为 5.0 。攻击者可以发送特制HTTP请求，诱使受影响服务器发起任意网络请求。
修复版本为 15.0(1)ES202607 ；低于15.0的版本必须迁移到已修复版本。思科将漏洞发现归功于 Spark Professional Services的Hesham Ahmed ，没有提供临时解决方案，并表示尚未发现已知利用。
管理员现在应做什么
盘点受影响产品和版本。 核对Crosswork、Secure Workload、BroadWorks、Unified Intelligence Center、RoomOS、Industrial Ethernet 1000和CCE部署，确认是否落入思科列出的受影响范围。优先处理无需认证的远程攻击面。 Crosswork中的关键漏洞和BroadWorks的CVE-2026-20320不依赖部分中危漏洞所要求的有效账户或物理访问。部署对应的修复版本。 重点版本包括Crosswork 7.2.1-SP 、Secure Workload 3.10.9.1 或4.0.4.16 、BroadWorks RI.2026.07 、Unified Intelligence Center 12.6(2) ES08 或15.0(1) SU2 、Industrial Ethernet 1000 1.9.6 以及CCE 15.0(1)ES202607 。RoomOS管理员应根据部署模式选择相应修复版本。完整更新Secure Workload组件。 本地部署尤其要确认Cluster、Agent和Connector均已更新。持续关注后续利用情报。 “尚未发现已知利用”只代表思科在披露时掌握的情况，并不能保证漏洞今后不会被利用。 这批更新的实际结论很明确：目前没有列出的临时解决方案，而风险最高的问题影响的是网络管理、工作负载控制和通信基础设施。企业应尽快确认软件版本并安排升级，不应把“尚无公开利用”当作延迟修复的理由。
qcsstudio.com
Cisco Advance Notification for Publication of | Advisory | QCS
3.10.9.1
4.0.4.16
受影响问题均未提供临时缓解措施。
Crosswork：3个CVSS 10.0漏洞加一个9.9漏洞 Crosswork Data Gateway、Crosswork Network Controller和Crosswork Planning的7.2.1及更早版本受到影响，思科要求客户升级到 7.2.1-SP 。
CVE-2026-20030 ：SQL注入，CVSS 10.0 。CVE-2026-20357 ：关键功能缺少身份验证，CVSS 10.0 。CVE-2026-20358 ：外部控制文件系统，CVSS 10.0 。CVE-2026-20359 ：凭据保护不足，CVSS 9.9 。 思科称，这些问题是在内部安全测试中发现的，测试过程包括使用前沿人工智能模型。思科没有报告已知恶意利用，也没有提供替代解决方案。
从潜在影响看，关键功能未认证访问、SQL注入、文件系统控制和凭据暴露同时出现在同一批产品更新中，意味着暴露在外网的管理基础设施，或与敏感网络系统相连的Crosswork部署，需要特别优先处理。不过，CVSS评分反映的是漏洞的潜在影响，并不等于已经确认这些漏洞正在野外被利用。
Secure Workload：需要同步更新多个组件 Cisco Secure Workload的SaaS和本地部署均受到影响。3.10分支及更早版本的修复版本为 3.10.9.1 ，4.0分支的修复版本为 4.0.4.16 。对于本地部署，客户需要更新所有适用的Cluster、Agent和Connector组件；思科表示，SaaS Cluster已经完成更新。
CVE-2026-20231 ：命令、操作系统或参数注入，CVSS 9.9 。CVE-2026-20315 ：访问控制不当，CVSS 10.0 。CVE-2026-20317 ：身份验证不当，CVSS 10.0 。CVE-2026-20318 ：输入验证不当，涉及路径遍历和外部路径控制等问题，CVSS 9.6 。CVE-2026-20319 ：缓冲区溢出或越界写入，CVSS 7.5 。 需要注意的是，CVE-2026-20319的评分为高危，而不是严重；其余4个Secure Workload漏洞按照公告列出的CVSS评分属于严重级别。思科将这些问题归因于内部测试流程，并表示尚未发现已知利用或提供可用的临时解决方案。
BroadWorks：未认证远程XXE可读取敏感文件 CVE-2026-20320 影响Cisco BroadWorks的Open Client Interface（OCI）XML解析器。这是一个高危、无需身份验证的远程盲XXE漏洞，CVSS评分为 7.5 。由于默认启用了外部实体解析，攻击者可以向OCI-P服务发送特制XML消息，从而读取敏感配置信息，以及BroadWorks用户有权限访问的文件。
BroadWorks Application Delivery Platform
BroadWorks Application Server
BroadWorks Profile Server
BroadWorks Xtended Services Platform
由于该漏洞无需认证且可通过OCI-P服务远程触发，BroadWorks运营方不应仅因目前没有公开利用证据就推迟处置。应先核对版本，再尽快部署RI.2026.07。
其他产品中的5个中危漏洞
Unified Intelligence Center：CVE-2026-20327 这是一个需要身份验证、可在本地触发的盲SQL注入漏洞，CVSS评分为 6.5 。拥有有效账户的用户可能通过Web管理界面读取内部数据库中的数据。
思科列出的修复版本为 12.6(2) ES08 和 15.0(1) SU2 ；低于12.6的版本必须迁移到受支持的修复版本。思科将漏洞发现归功于 Spark Professional Services的Hesham Ahmed ，没有提供临时解决方案，也没有报告已知恶意利用。
RoomOS：CVE-2026-20302 RoomOS USB驱动程序栈中的漏洞评分为 CVSS 6.1 。攻击需要物理USB访问权限，但成功利用后可能以root权限执行任意代码。
本地部署的修复版本为 11.32.7.0 和 26.7.2.2 ；云感知部署的修复版本为 11.40.1.1 和 26.7.1.12 。思科将漏洞发现归功于北约网络安全中心的 Jean-Michel Huguet ，并表示没有已知利用或临时解决方案。
Industrial Ethernet 1000系列交换机 这两个漏洞均在 1.9.6版 中修复；低于1.9的版本需要迁移到已修复版本。
CVE-2026-20232 ：存储型跨站脚本（XSS），CVSS 5.4 。经过身份验证的远程用户可以注入脚本，并使其在另一名管理界面用户的上下文中执行。思科将发现归功于 Rockwell Automation 。CVE-2026-20177 ：管理平面流量泛洪导致的拒绝服务，CVSS 5.3 。未认证攻击者可以泛洪ICMP、SSH或HTTP流量，使图形界面、SSH或API不可用，但数据转发不受影响。该问题由思科内部发现。 思科没有为这两个漏洞提供临时解决方案，也没有报告已知恶意利用。
Packaged CCE和Unified CCE：CVE-2026-20314 这是一个需要身份验证的远程服务器端请求伪造（SSRF）漏洞，CVSS评分为 5.0 。攻击者可以发送特制HTTP请求，诱使受影响服务器发起任意网络请求。
修复版本为 15.0(1)ES202607 ；低于15.0的版本必须迁移到已修复版本。思科将漏洞发现归功于 Spark Professional Services的Hesham Ahmed ，没有提供临时解决方案，并表示尚未发现已知利用。
管理员现在应做什么
盘点受影响产品和版本。 核对Crosswork、Secure Workload、BroadWorks、Unified Intelligence Center、RoomOS、Industrial Ethernet 1000和CCE部署，确认是否落入思科列出的受影响范围。优先处理无需认证的远程攻击面。 Crosswork中的关键漏洞和BroadWorks的CVE-2026-20320不依赖部分中危漏洞所要求的有效账户或物理访问。部署对应的修复版本。 重点版本包括Crosswork 7.2.1-SP 、Secure Workload 3.10.9.1 或4.0.4.16 、BroadWorks RI.2026.07 、Unified Intelligence Center 12.6(2) ES08 或15.0(1) SU2 、Industrial Ethernet 1000 1.9.6 以及CCE 15.0(1)ES202607 。RoomOS管理员应根据部署模式选择相应修复版本。完整更新Secure Workload组件。 本地部署尤其要确认Cluster、Agent和Connector均已更新。持续关注后续利用情报。 “尚未发现已知利用”只代表思科在披露时掌握的情况，并不能保证漏洞今后不会被利用。 这批更新的实际结论很明确：目前没有列出的临时解决方案，而风险最高的问题影响的是网络管理、工作负载控制和通信基础设施。企业应尽快确认软件版本并安排升级，不应把“尚无公开利用”当作延迟修复的理由。
qcsstudio.com
Cisco Advance Notification for Publication of | Advisory | QCS
cisco.comCisco Advance Notification for Publication of August 19 ...
cybersecuritynews.comCisco External Entity Injection Vulnerability Allows Attackers to Read Sensitive Data
cyber.gc.caCisco security advisory (AV26-834) - Canadian Centre for Cyber ...
opencve.alliance.unm.eduCVE-2026-20359 - Vulnerability Details - OpenCVE