ハッカーがCisco Secure Email Gatewayの重大な脆弱性を悪用し、root権限でコマンドを実行

Ciscoは、Secure Email Gatewayに存在する重大なSQLインジェクションの脆弱性に対処するセキュリティアップデートをリリースしました。この脆弱性はリモートから認証なしで悪用可能であり、攻撃者は影響を受けるデバイス上で任意のコマンドをroot権限で実行できてしまいます。

CVE-2026-76461として追跡されているこの脆弱性は、CVSS基本値が10点満点中9.8という深刻なものです。物理・仮想の両方のCisco Secure Email Gatewayデバイス上で動作するCisco AsyncOSソフトウェアに影響します。

Ciscoは9月14日にこの問題を公表し、設定内容にかかわらず、脆弱性のあるすべてのゲートウェイ展開がリスクにさらされていると警告しています。

Cisco Secure Email Gatewayの脆弱性

Cisco bug ID CSCwu56234として識別されているこの脆弱性は、製品のメール解析ロジックにおける検証不足に起因します。攻撃者は、悪意のあるSQL文を含む特別に細工されたメールを、外部からアクセス可能なCisco Secure Email Gatewayアプライアンスに送信することが可能です。

CyberAI tools

この脆弱性が悪用に成功した場合、攻撃者は任意のSQLコマンドを実行できるだけでなく、基盤となるオペレーティングシステムに対してroot権限でのアクセスを獲得できる恐れがあります。

Ciscoのセキュリティアドバイザリによると、「攻撃者は、悪意のあるSQL文を含む細工されたメールメッセージを、影響を受けるデバイスに送信することでこの脆弱性を悪用できる可能性がある」としています。

root権限でのコマンド実行は組織にとって深刻なリスクをもたらします。攻撃者に侵害されたメールセキュリティアプライアンスへの完全な制御権を与えかねないためです。

ゲートウェイが侵害されると、脅威アクターは設定を変更したり、保存データにアクセスしたり、持続的な足場を確立したり、セキュリティ制御を無効化したり、あるいはそのデバイスを内部インフラへの攻撃の踏み台として利用したりする可能性があります。

Ciscoは、この脆弱性が物理・仮想の両インスタンスを含むCisco Secure Email Gatewayアプライアンスに影響することを確認しています。一方、Cisco Secure Email and Web ManagerおよびSecure Web Applianceの各製品は、CVE-2026-76461の影響を受けません。

Ciscoはこのsqlインジェクション脆弱性に対する回避策を提供しておらず、管理者に対して修正済みのAsyncOSリリースへできるだけ早くアップグレードするよう強く推奨しています。次のCisco AsyncOSリリースに修正が含まれています。

Cisco AsyncOSリリース: 最初の修正リリース

•   15.5以前: 15.5.5-0141
•   16.0: 16.0.4-3021
•   16.5: 16.5.0-780

Ciscoは可能な限り、顧客に対してAsyncOS Release 16.5.0-780への移行を推奨しています。管理者は、アプライアンスのWebベース管理インターフェースから「System Administration」>「System Upgrade」に進み、「Upgrade Options」を選択して「Download and Install」を選ぶことでアップデートを適用できます。

Ciscoは管理者に対し、悪用の試みを示す可能性のある不審なSQL文がないか、メールログを確認するよう推奨しています。組織は、以下のコマンドを使ってIronPortテキストメールログ内の「COPY … TO PROGRAM」を含むSQLコマンドを検索できます。

grep -i "COPY.*TO PROGRAM" [IronPort Text Mail Logs Log name - Default: mail_logs]

該当するエントリーが見つかった場合、悪意のある活動の可能性を示唆しますが、Ciscoはこの検出パターンが網羅的なものではないと注記しています。クラスタ構成でSecure Email Gatewayを運用している組織は、クラスタ内のすべてのデバイスでログを確認する必要があります。

Ciscoはまた、root権限を取得した脅威アクターが、侵害されたアプライアンス上の証拠を削除、改ざん、あるいは隠蔽する可能性があるとも警告しています。

管理者は、ファイアウォールを含む外部のテレメトリやネットワークログを確認し、不審な発信接続、外部IPアドレスへの予期しないアップロード、あるいはゲートウェイが悪意のある送信元から開始したダウンロードがないかを調べる必要があります。

コマンドラインへのアクセス権を持たないCisco Secure Email Cloudの顧客にとっては、これらの確認作業を自力で行うのは困難な場合があります。Ciscoは、悪意のある活動を検知した際にはクラウド顧客に直接連絡しています。

SOCを常に最新の状態に保ち、活発なマルウェアやフィッシングの発生から24時間以内に把握しましょう。 ANYRUNを試して早期検知でインシデントを未然に防ぎましょう。