Cisco 於 2026 年 8 月 19 日公布並修補 15 個漏洞，當中 Crosswork 有 4 個嚴重漏洞，Secure Workload 有 4 個嚴重漏洞及 1 個高危漏洞。 最需要優先處理的版本包括 Crosswork 7.2.1 SP、Secure Workload 3.10.9.1 或 4.0.4.16，以及 BroadWorks RI.2026.07。 BroadWorks 的 CVE 2026 20320 屬 CVSS 7.5 的高危 XXE 漏洞，未經驗證的遠端攻擊者可透過特製 XML 讀取敏感設定資料及 BroadWorks 使用者可存取的檔案。 What security vulnerabilities did Cisco disclose and patch on August 19, 2026, including the 15 flaws across its product portfolio, the Broa Illustration representing Cisco’s August 19, 2026 vulnerability fixes. AI 提示 Create a landscape editorial hero image for this Studio Global article: What security vulnerabilities did Cisco disclose and patch on August 19, 2026, including the 15 flaws across its product portfolio, the Broa. Article summary: Cisco disclosed 15 vulnerabilities on August 19, 2026: nine critical issues in Crosswork and Secure Workload, one high-severity BroadWorks XXE flaw, and five medium-severity flaws in Unified Intelligence Center, RoomOS, . Topic tags: general, education, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake nu
openai.com Cisco 於 2026 年 8 月 19 日發出一批安全公告，涵蓋旗下產品組合共 15 個漏洞。最受關注的是 Cisco Crosswork 及 Secure Workload：前者有 4 個嚴重漏洞，後者 5 個漏洞中有 4 個屬嚴重級別，最高 CVSS 評分達 10.0。BroadWorks 亦有一個可由未經驗證遠端攻擊者利用的 XXE 漏洞；另外，Unified Intelligence Center、RoomOS、Industrial Ethernet 1000 系列交換機及 Contact Center 產品亦有中等嚴重程度問題。
Cisco 表示，公布公告時並不知道這些漏洞已有公開披露或遭到惡意利用。受影響產品亦沒有提供 workaround，即實際修補方法是升級至指定的修正版軟件。
重點一覽
今次共披露及修補 15 個漏洞 。
Crosswork 有 4 個嚴重漏洞 ；Secure Workload 有 4 個嚴重漏洞及 1 個高危漏洞 。
BroadWorks 的 CVE-2026-20320 評分為 CVSS 7.5 ，可讓未經驗證的遠端攻擊者讀取敏感資料。
Crosswork 應升級至 7.2.1-SP 。
人們還問 「Cisco 修補 15 個漏洞，BroadWorks 更有可免登入遠端讀取資料的 XXE 漏洞」的簡短答案是什麼？ Cisco 於 2026 年 8 月 19 日公布並修補 15 個漏洞，當中 Crosswork 有 4 個嚴重漏洞，Secure Workload 有 4 個嚴重漏洞及 1 個高危漏洞。
首先要驗證的關鍵點是什麼？ Cisco 於 2026 年 8 月 19 日公布並修補 15 個漏洞，當中 Crosswork 有 4 個嚴重漏洞，Secure Workload 有 4 個嚴重漏洞及 1 個高危漏洞。 最需要優先處理的版本包括 Crosswork 7.2.1 SP、Secure Workload 3.10.9.1 或 4.0.4.16，以及 BroadWorks RI.2026.07。
接下來在實務上我該做什麼？ BroadWorks 的 CVE 2026 20320 屬 CVSS 7.5 的高危 XXE 漏洞，未經驗證的遠端攻擊者可透過特製 XML 讀取敏感設定資料及 BroadWorks 使用者可存取的檔案。
Cisco 於 2026 年 8 月 19 日公布並修補 15 個漏洞，當中 Crosswork 有 4 個嚴重漏洞，Secure Workload 有 4 個嚴重漏洞及 1 個高危漏洞。 最需要優先處理的版本包括 Crosswork 7.2.1 SP、Secure Workload 3.10.9.1 或 4.0.4.16，以及 BroadWorks RI.2026.07。 BroadWorks 的 CVE 2026 20320 屬 CVSS 7.5 的高危 XXE 漏洞，未經驗證的遠端攻擊者可透過特製 XML 讀取敏感設定資料及 BroadWorks 使用者可存取的檔案。 What security vulnerabilities did Cisco disclose and patch on August 19, 2026, including the 15 flaws across its product portfolio, the Broa Illustration representing Cisco’s August 19, 2026 vulnerability fixes. AI 提示 Create a landscape editorial hero image for this Studio Global article: What security vulnerabilities did Cisco disclose and patch on August 19, 2026, including the 15 flaws across its product portfolio, the Broa. Article summary: Cisco disclosed 15 vulnerabilities on August 19, 2026: nine critical issues in Crosswork and Secure Workload, one high-severity BroadWorks XXE flaw, and five medium-severity flaws in Unified Intelligence Center, RoomOS, . Topic tags: general, education, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake nu
openai.com Cisco 於 2026 年 8 月 19 日發出一批安全公告，涵蓋旗下產品組合共 15 個漏洞。最受關注的是 Cisco Crosswork 及 Secure Workload：前者有 4 個嚴重漏洞，後者 5 個漏洞中有 4 個屬嚴重級別，最高 CVSS 評分達 10.0。BroadWorks 亦有一個可由未經驗證遠端攻擊者利用的 XXE 漏洞；另外，Unified Intelligence Center、RoomOS、Industrial Ethernet 1000 系列交換機及 Contact Center 產品亦有中等嚴重程度問題。
Cisco 表示，公布公告時並不知道這些漏洞已有公開披露或遭到惡意利用。受影響產品亦沒有提供 workaround，即實際修補方法是升級至指定的修正版軟件。
重點一覽
今次共披露及修補 15 個漏洞 。
Crosswork 有 4 個嚴重漏洞 ；Secure Workload 有 4 個嚴重漏洞及 1 個高危漏洞 。
BroadWorks 的 CVE-2026-20320 評分為 CVSS 7.5 ，可讓未經驗證的遠端攻擊者讀取敏感資料。
Crosswork 應升級至 7.2.1-SP 。
人們還問 「Cisco 修補 15 個漏洞，BroadWorks 更有可免登入遠端讀取資料的 XXE 漏洞」的簡短答案是什麼？ Cisco 於 2026 年 8 月 19 日公布並修補 15 個漏洞，當中 Crosswork 有 4 個嚴重漏洞，Secure Workload 有 4 個嚴重漏洞及 1 個高危漏洞。
首先要驗證的關鍵點是什麼？ Cisco 於 2026 年 8 月 19 日公布並修補 15 個漏洞，當中 Crosswork 有 4 個嚴重漏洞，Secure Workload 有 4 個嚴重漏洞及 1 個高危漏洞。 最需要優先處理的版本包括 Crosswork 7.2.1 SP、Secure Workload 3.10.9.1 或 4.0.4.16，以及 BroadWorks RI.2026.07。
接下來在實務上我該做什麼？ BroadWorks 的 CVE 2026 20320 屬 CVSS 7.5 的高危 XXE 漏洞，未經驗證的遠端攻擊者可透過特製 XML 讀取敏感設定資料及 BroadWorks 使用者可存取的檔案。
Secure Workload 3.10 系列及更早版本應升級至 3.10.9.1 ；4.0 系列則應升級至 4.0.4.16 。 Cisco 沒有為受影響漏洞提供 workaround。
Crosswork 四個嚴重漏洞：最高評分 10.0 Cisco Crosswork Data Gateway、Crosswork Network Controller 及 Crosswork Planning 的 7.2.1 及之前版本 受影響，客戶應升級至 7.2.1-SP 。
CVE-2026-20030 ：SQL injection，CVSS 10.0 。CVE-2026-20357 ：關鍵功能缺少驗證，CVSS 10.0 。CVE-2026-20358 ：外部控制檔案系統，CVSS 10.0 。CVE-2026-20359 ：憑證保護不足，CVSS 9.9 。 Cisco 指出，漏洞是在內部安全測試中發現，測試亦包括使用 frontier AI models。Cisco 當時表示未知有惡意利用，並沒有提供 workaround。
將 SQL injection、可免驗證執行關鍵功能、檔案系統控制及憑證外洩風險放在同一套網絡管理基礎設施上，對連接敏感網絡或直接暴露於網絡的部署尤其不利。不過，CVSS 評分反映的是漏洞可能造成的影響，並不等於已證實漏洞正在野外被利用。
Secure Workload：五個漏洞要留意所有元件更新 Cisco Secure Workload 的 SaaS 及 on-premises 部署均受影響。3.10 系列及更早版本的修正版是 3.10.9.1 ，4.0 系列的修正版是 4.0.4.16 。對於 on-premises 部署，Cisco 要求客戶更新所有適用的 Cluster、Agent 及 Connector 元件；SaaS Cluster 則已由 Cisco 更新。
CVE-2026-20231 ：指令、作業系統或參數注入類漏洞，CVSS 9.9 。CVE-2026-20315 ：存取控制不當，CVSS 10.0 。CVE-2026-20317 ：驗證機制不當，CVSS 10.0 。CVE-2026-20318 ：輸入驗證不當，包括路徑穿越及外部路徑控制類問題，CVSS 9.6 。CVE-2026-20319 ：buffer overflow 或越界寫入類漏洞，CVSS 7.5 。 要注意的是，CVE-2026-20319 屬高危而非嚴重級別；其餘 4 個 Secure Workload 漏洞才是按列出的 CVSS 評分屬嚴重級別。Cisco 表示，這些問題來自內部測試流程，暫未發現遭到利用，亦沒有提供 workaround。
BroadWorks CVE-2026-20320：未經驗證的 XXE 可讀取敏感資料 CVE-2026-20320 影響 Cisco BroadWorks 的 Open Client Interface XML parser，屬高危、未經驗證、可遠端利用的 blind XXE 漏洞，CVSS 評分為 7.5 。由於系統預設啟用 external entity resolution，攻擊者只要向 OCI-P service 發送特製訊息，便可能讀取敏感設定資料，以及 BroadWorks 使用者有權存取的檔案。
BroadWorks Application Delivery Platform
BroadWorks Application Server
BroadWorks Profile Server
BroadWorks Xtended Services Platform
由於漏洞不要求登入，而且可透過 OCI-P service 遠端觸發，BroadWorks 管理員應盡快核對版本及安排更新。現有資料未能證實漏洞已被積極利用，但「目前未知遭利用」並不代表日後沒有風險。
其他 Cisco 產品的五個中等嚴重程度漏洞 其餘漏洞涉及 Unified Intelligence Center、RoomOS、Industrial Ethernet 1000 系列交換機，以及 Packaged Contact Center Enterprise。
Unified Intelligence Center：CVE-2026-20327 這是一個需要驗證、須在本地觸發的 blind SQL injection 漏洞，CVSS 6.5 。持有有效帳戶的使用者可透過網頁管理介面讀取內部資料庫內容。Cisco 列出的修正版為 12.6(2) ES08 及 15.0(1) SU2 ；12.6 之前的版本則需要轉移至受支援的修正版。
Cisco 將發現者列為 Spark Professional Services 的 Hesham Ahmed ，並表示沒有 workaround 或已知惡意利用。
RoomOS：CVE-2026-20302 RoomOS 的 USB driver stack 存在漏洞，CVSS 6.1 。攻擊者需要實體 USB 存取權，但成功利用後可能以 root 權限執行任意程式碼。
on-premises 部署的修正版為 11.32.7.0 及 26.7.2.2 ；cloud-aware 部署則為 11.40.1.1 及 26.7.1.12 。Cisco 將發現者列為 NATO Cyber Security Centre 的 Jean-Michel Huguet ，並表示暫未發現遭利用，亦沒有 workaround。
Industrial Ethernet 1000 系列交換機 兩個交換機漏洞均已在 1.9.6 修補；1.9 之前的版本需要轉移至修正版。
CVE-2026-20232 ：stored cross-site scripting，CVSS 5.4 。已驗證的遠端使用者可注入 script，令程式碼在另一名使用者的管理介面環境中執行。Cisco 將發現者列為 Rockwell Automation 。CVE-2026-20177 ：管理平面 flooding denial-of-service，CVSS 5.3 。未經驗證的攻擊者可大量發送 ICMP、SSH 或 HTTP 流量，令圖形介面、SSH 或 API 無法使用；數據轉發則不受影響。這個問題由 Cisco 內部發現。 Cisco 表示，兩個漏洞均沒有 workaround，亦不知道有惡意利用個案。
Packaged CCE 及 Unified CCE：CVE-2026-20314 這是一個需要驗證的遠端 Server-Side Request Forgery（SSRF）漏洞，CVSS 5.0 。攻擊者可製作 HTTP request，誘使受影響伺服器向任意網絡位置發出 request。修正版為 15.0(1)ES202607 ；15.0 之前的版本需要轉移至修正版。
Cisco 將發現者列為 Spark Professional Services 的 Hesham Ahmed ，表示沒有 workaround，亦不知道有遭利用個案。
管理員現在應該做甚麼？
先盤點產品及版本。 核對 Crosswork、Secure Workload、BroadWorks、Unified Intelligence Center、RoomOS、Industrial Ethernet 1000 及 CCE 的實際部署版本和受影響範圍。優先處理不需要登入的漏洞。 Crosswork 的關鍵漏洞及 BroadWorks CVE-2026-20320 均不依賴一般帳戶驗證，風險優先度高於需要帳戶或實體存取的部分中等嚴重程度漏洞。套用產品指定修正版。 主要目標包括 Crosswork 7.2.1-SP 、Secure Workload 3.10.9.1 或 4.0.4.16 、BroadWorks RI.2026.07 、Unified Intelligence Center 12.6(2) ES08 或 15.0(1) SU2 、Industrial Ethernet 1000 1.9.6 ，以及 CCE 15.0(1)ES202607 。RoomOS 則應按部署模式選擇對應修正版。Secure Workload 要更新所有適用元件。 Cisco 特別點名 on-premises 部署的 Cluster、Agent 及 Connector。繼續留意後續威脅情報。 Cisco 所說的「目前未知遭利用」，只代表公告發出時的狀況，並非保證漏洞日後不會被利用。 簡單講，今次修補批次沒有 workaround，而最嚴重的問題集中在可能負責網絡管理、工作負載控制或通訊服務的產品。即使目前未有已知活躍攻擊，機構亦應立即核對版本、安排維護窗口並部署 Cisco 指定更新，唔好單靠「暫未發現被利用」而延誤修補。
qcsstudio.com
Cisco Advance Notification for Publication of | Advisory | QCS
Secure Workload 3.10 系列及更早版本應升級至 3.10.9.1 ；4.0 系列則應升級至 4.0.4.16 。 Cisco 沒有為受影響漏洞提供 workaround。
Crosswork 四個嚴重漏洞：最高評分 10.0 Cisco Crosswork Data Gateway、Crosswork Network Controller 及 Crosswork Planning 的 7.2.1 及之前版本 受影響，客戶應升級至 7.2.1-SP 。
CVE-2026-20030 ：SQL injection，CVSS 10.0 。CVE-2026-20357 ：關鍵功能缺少驗證，CVSS 10.0 。CVE-2026-20358 ：外部控制檔案系統，CVSS 10.0 。CVE-2026-20359 ：憑證保護不足，CVSS 9.9 。 Cisco 指出，漏洞是在內部安全測試中發現，測試亦包括使用 frontier AI models。Cisco 當時表示未知有惡意利用，並沒有提供 workaround。
將 SQL injection、可免驗證執行關鍵功能、檔案系統控制及憑證外洩風險放在同一套網絡管理基礎設施上，對連接敏感網絡或直接暴露於網絡的部署尤其不利。不過，CVSS 評分反映的是漏洞可能造成的影響，並不等於已證實漏洞正在野外被利用。
Secure Workload：五個漏洞要留意所有元件更新 Cisco Secure Workload 的 SaaS 及 on-premises 部署均受影響。3.10 系列及更早版本的修正版是 3.10.9.1 ，4.0 系列的修正版是 4.0.4.16 。對於 on-premises 部署，Cisco 要求客戶更新所有適用的 Cluster、Agent 及 Connector 元件；SaaS Cluster 則已由 Cisco 更新。
CVE-2026-20231 ：指令、作業系統或參數注入類漏洞，CVSS 9.9 。CVE-2026-20315 ：存取控制不當，CVSS 10.0 。CVE-2026-20317 ：驗證機制不當，CVSS 10.0 。CVE-2026-20318 ：輸入驗證不當，包括路徑穿越及外部路徑控制類問題，CVSS 9.6 。CVE-2026-20319 ：buffer overflow 或越界寫入類漏洞，CVSS 7.5 。 要注意的是，CVE-2026-20319 屬高危而非嚴重級別；其餘 4 個 Secure Workload 漏洞才是按列出的 CVSS 評分屬嚴重級別。Cisco 表示，這些問題來自內部測試流程，暫未發現遭到利用，亦沒有提供 workaround。
BroadWorks CVE-2026-20320：未經驗證的 XXE 可讀取敏感資料 CVE-2026-20320 影響 Cisco BroadWorks 的 Open Client Interface XML parser，屬高危、未經驗證、可遠端利用的 blind XXE 漏洞，CVSS 評分為 7.5 。由於系統預設啟用 external entity resolution，攻擊者只要向 OCI-P service 發送特製訊息，便可能讀取敏感設定資料，以及 BroadWorks 使用者有權存取的檔案。
BroadWorks Application Delivery Platform
BroadWorks Application Server
BroadWorks Profile Server
BroadWorks Xtended Services Platform
由於漏洞不要求登入，而且可透過 OCI-P service 遠端觸發，BroadWorks 管理員應盡快核對版本及安排更新。現有資料未能證實漏洞已被積極利用，但「目前未知遭利用」並不代表日後沒有風險。
其他 Cisco 產品的五個中等嚴重程度漏洞 其餘漏洞涉及 Unified Intelligence Center、RoomOS、Industrial Ethernet 1000 系列交換機，以及 Packaged Contact Center Enterprise。
Unified Intelligence Center：CVE-2026-20327 這是一個需要驗證、須在本地觸發的 blind SQL injection 漏洞，CVSS 6.5 。持有有效帳戶的使用者可透過網頁管理介面讀取內部資料庫內容。Cisco 列出的修正版為 12.6(2) ES08 及 15.0(1) SU2 ；12.6 之前的版本則需要轉移至受支援的修正版。
Cisco 將發現者列為 Spark Professional Services 的 Hesham Ahmed ，並表示沒有 workaround 或已知惡意利用。
RoomOS：CVE-2026-20302 RoomOS 的 USB driver stack 存在漏洞，CVSS 6.1 。攻擊者需要實體 USB 存取權，但成功利用後可能以 root 權限執行任意程式碼。
on-premises 部署的修正版為 11.32.7.0 及 26.7.2.2 ；cloud-aware 部署則為 11.40.1.1 及 26.7.1.12 。Cisco 將發現者列為 NATO Cyber Security Centre 的 Jean-Michel Huguet ，並表示暫未發現遭利用，亦沒有 workaround。
Industrial Ethernet 1000 系列交換機 兩個交換機漏洞均已在 1.9.6 修補；1.9 之前的版本需要轉移至修正版。
CVE-2026-20232 ：stored cross-site scripting，CVSS 5.4 。已驗證的遠端使用者可注入 script，令程式碼在另一名使用者的管理介面環境中執行。Cisco 將發現者列為 Rockwell Automation 。CVE-2026-20177 ：管理平面 flooding denial-of-service，CVSS 5.3 。未經驗證的攻擊者可大量發送 ICMP、SSH 或 HTTP 流量，令圖形介面、SSH 或 API 無法使用；數據轉發則不受影響。這個問題由 Cisco 內部發現。 Cisco 表示，兩個漏洞均沒有 workaround，亦不知道有惡意利用個案。
Packaged CCE 及 Unified CCE：CVE-2026-20314 這是一個需要驗證的遠端 Server-Side Request Forgery（SSRF）漏洞，CVSS 5.0 。攻擊者可製作 HTTP request，誘使受影響伺服器向任意網絡位置發出 request。修正版為 15.0(1)ES202607 ；15.0 之前的版本需要轉移至修正版。
Cisco 將發現者列為 Spark Professional Services 的 Hesham Ahmed ，表示沒有 workaround，亦不知道有遭利用個案。
管理員現在應該做甚麼？
先盤點產品及版本。 核對 Crosswork、Secure Workload、BroadWorks、Unified Intelligence Center、RoomOS、Industrial Ethernet 1000 及 CCE 的實際部署版本和受影響範圍。優先處理不需要登入的漏洞。 Crosswork 的關鍵漏洞及 BroadWorks CVE-2026-20320 均不依賴一般帳戶驗證，風險優先度高於需要帳戶或實體存取的部分中等嚴重程度漏洞。套用產品指定修正版。 主要目標包括 Crosswork 7.2.1-SP 、Secure Workload 3.10.9.1 或 4.0.4.16 、BroadWorks RI.2026.07 、Unified Intelligence Center 12.6(2) ES08 或 15.0(1) SU2 、Industrial Ethernet 1000 1.9.6 ，以及 CCE 15.0(1)ES202607 。RoomOS 則應按部署模式選擇對應修正版。Secure Workload 要更新所有適用元件。 Cisco 特別點名 on-premises 部署的 Cluster、Agent 及 Connector。繼續留意後續威脅情報。 Cisco 所說的「目前未知遭利用」，只代表公告發出時的狀況，並非保證漏洞日後不會被利用。 簡單講，今次修補批次沒有 workaround，而最嚴重的問題集中在可能負責網絡管理、工作負載控制或通訊服務的產品。即使目前未有已知活躍攻擊，機構亦應立即核對版本、安排維護窗口並部署 Cisco 指定更新，唔好單靠「暫未發現被利用」而延誤修補。
qcsstudio.com
Cisco Advance Notification for Publication of | Advisory | QCS
cisco.comCisco Advance Notification for Publication of August 19 ...
cybersecuritynews.comCisco External Entity Injection Vulnerability Allows Attackers to Read Sensitive Data
cyber.gc.caCisco security advisory (AV26-834) - Canadian Centre for Cyber ...
opencve.alliance.unm.eduCVE-2026-20359 - Vulnerability Details - OpenCVE