Cisco、メールゲートウェイで実際に悪用されているゼロデイ脆弱性について顧客に警告

出所や動機が不明な攻撃者が、Cisco Secure Email Gatewayの深刻なゼロデイ脆弱性を悪用していると、当局と研究者が月曜日に明らかにしました。

この脆弱性——CVE-2026-76461——は、Ciscoが月曜日に脆弱性を公表しパッチを提供する以前から悪用されており、認証を経ていない遠隔の攻撃者が脆弱なシステム上でroot権限によるコマンド実行を可能にするものです。Rapid7の脆弱性インテリジェンス担当ディレクター、Douglas McKee氏はCyberScoopに対し、「実際的に言えば、これは攻撃者にゲートウェイそのものの制御権を与えるものです」と語りました。

Ciscoによると、同社のプロダクトセキュリティインシデント対応チームは、Cisco Secure Email Gateway向けCisco AsyncOSソフトウェアに影響するこの欠陥が実際に悪用されていることを9月に把握したとのことです。詳細についての問い合わせに対し、同社の広報担当者はアドバイザリを示した上で、脆弱性が実際に悪用されていることを同社が認識していると改めて説明しました。

同社はこれまでの実悪用によってどれだけの組織が影響を受けたかについては明らかにしていませんが、公表以前に複数の顧客が侵害された可能性が高いことを示唆しています。

「Ciscoは、Cisco Secure Email Cloudに属するデバイスについて徹底した脅威インテリジェンス調査を実施しました。侵害の兆候と見られる指標が確認されたCisco Secure Email Cloudデバイスを保有する顧客に対しては、Ciscoが直接連絡を取っています」と同社はセキュリティアドバイザリに記しています。「Ciscoは修復および復旧作業に取り組んでおり、Ciscoの管理下にある範囲についてはすでに緩和策を展開済みです」

米サイバーセキュリティ・インフラセキュリティ庁(CISA)は、Cisco Secure Email Gatewayのクラウド版・オンプレミス版の両方に影響するこのゼロデイ脆弱性を、Ciscoの公表直後に「既知の悪用された脆弱性」カタログに追加しました。

Ciscoの公開アドバイザリとパッチ適用指針の発表から、CISAによるKEVカタログへの迅速な追加までの短い時間差は、この脆弱性が直ちに注意を払うべきものであることを示していると、McKee氏は述べています。

「今回の組み合わせはかなり厄介です。認証が一切不要で、攻撃者はアプライアンスにメールを送信するだけで脆弱なコードに到達でき、悪用に成功すればroot権限でのコマンド実行につながり、しかもCiscoは実際の悪用を確認しています」と同氏は付け加えました。

Rapid7とVulnCheckの研究者らは、実際の悪用によってどれだけの組織が影響を受けているかはまだ判明していないとしながらも、Ciscoの顧客に対してできるだけ早くパッチを適用し、侵害の兆候がないか調査するよう呼びかけています。

VulnCheckのエクスプロイト開発担当ディレクター、Spencer McIntyre氏はCyberScoopに対し、このエクスプロイトによって攻撃者がメールゲートウェイへのアクセスを維持し、通信を監視できるようになる可能性があると語りました。「メール通信を窃取したり、密かに盗み見たりする手口は、諜報活動を行う国家支援型攻撃者やその他の脅威アクターにとってよくある戦術です」と同氏は述べています。

「アプライアンスをオンプレミスで運用している組織にとっては、事態はさらに深刻になるでしょう。この場合、攻撃者は内部ネットワークへ侵入経路を広げる可能性があります」とMcIntyre氏は付け加えました。「一方、クラウドインスタンスを利用している組織であれば、侵害されたゲートウェイが組織内部のリソースに対して重大なアクセス権を持つ可能性は低くなります」

Ciscoは、各組織が自社の環境内で悪用の試みがなかったか調査できるよう侵害指標(IOC)を公開しましたが、悪用によって得られるアクセスレベルを考えれば、攻撃者がこうした痕跡を消去または隠蔽できる可能性があるとも付け加えています。