Ciscoは月曜日、Secure Email Gatewayアプライアンスがゼロデイのシーケンシャルインジェクション(SQLインジェクション)脆弱性(CVE-2026-76461)によって侵害されたことを確認したと発表しました。
Ciscoの製品セキュリティインシデント対応チーム(PSIRT)は2025年9月にこの脆弱性の実際の悪用を把握しており、組織が侵害の有無を確認するために参照できる侵害指標(IoC)を公開しています。
CVE-2026-76461について
この脆弱性は、オンプレミスの物理アプライアンスおよび仮想アプライアンスで稼働するCisco AsyncOS Softwareのバージョン16.5、16.0、15.5以前に影響します。
また、Cisco Secure Email GatewayのクラウドサービスであるCisco Secure Email Cloudにも影響しており、Ciscoは「不正な活動が検知されたCisco Secure Email Cloudデバイスを所有する顧客には直接連絡を行った」としています。
この脆弱性は、メール解析ロジックの検証が不十分であることに起因しており、攻撃者は認証を経ずに、悪意のあるSQL文を含む細工したメールメッセージを対象デバイス経由で送信することでこれをトリガーできます。
悪用の成功にユーザーの操作は必要ありません。
確認すべきポイント
Ciscoは「悪用に成功すると、攻撃者は任意のSQL文を実行できるようになり、その結果、基盤となるOS上でroot権限によるコマンド実行につながる可能性がある」と説明しています。
同社は、Cisco Secure Email Gatewayを利用している組織に対し、デバイスのmail_logsに不審なSQL文が含まれていないか確認するよう推奨しています。
Ciscoは「出力にエントリが1件でも存在する場合、不正な活動を示している可能性がある。デバイスがクラスタの一部である場合は、クラスタ内の各デバイスのログを確認してほしい」と付け加えています。
ただし同社は、脅威アクターがroot権限によるコマンド実行を取得している可能性があるため、この権限を悪用して侵害の痕跡や侵害指標を削除・隠蔽している場合もあると注意を促しています。
(実際、昨年末には、中国系とみられる脅威グループが、CVE-2025-20393のゼロデイ悪用でバックドアを設置した後にログ消去ツールを使用した事例がありました。)
Ciscoは「管理者には、外部IPアドレスへの予期しないアップロードや悪意のあるIPアドレスからのダウンロードなど、潜在的に不審な活動を特定するため、影響を受けたデバイス以外のネットワークログとファイアウォールログを突き合わせて確認することを強く推奨する」と述べています。
対応方法
Ciscoはすでに、すべてのCisco Secure Email Cloudデバイスをリリース16.5.0-780にアップグレード済みです。
CVE-2026-76461を修正するため、Ciscoは企業の管理者に対し、デバイスを修正版リリースである15.5.5-014、16.0.4-302、16.5.0-780のいずれか(16.5.0-780が推奨)にアップグレードするよう勧めています。15.5.5-014と16.5.0-780はソフトウェアの堅牢化を目的としたリリースでもあり、Ciscoが発見したその他多数の重大な脆弱性への修正も含まれています。
アップグレード後、セキュリティチームは各種ログに侵害指標が存在しないか調査する必要があります。もし発見された場合は、以下のいずれかの対応を取るべきです。
- 物理デバイスを運用している場合は、Cisco Technical Assistance Center(TAC)にサポートを依頼する
- フォレンジック情報を記録し、修正版ソフトウェアリリースのいずれかを実行する新しい仮想マシンを展開したうえで、製品構成を再構築し、アプライアンスにインストールされている認証情報や暗号化関連の資材をすべて更新し、異常な挙動がないか継続的にシステムを監視する
米国のサイバーセキュリティ・インフラセキュリティ庁(CISA)は月曜日、CVE-2026-76461を既知の悪用された脆弱性(KEV)カタログに追加し、米連邦文民機関に対して木曜日(9月17日)までにこの脆弱性を修正し、侵害の証拠がないか確認するよう命じました。
翻訳元: https://www.helpnetsecurity.com/2026/09/15/cve-2026-76461-cisco-email-gateway-zero-day-exploited/
