security
攻撃者はすでにこの重大な脆弱性を悪用しており、Ciscoは侵入後に攻撃者が痕跡を消せる可能性があると警告しています
犯罪者はCisco Secure Email Gatewayの重大な脆弱性を悪用しており、悪意あるメール1通でroot権限を奪取できる状態になっています。
CVE-2026-76461として追跡されているこの脆弱性はCVSSスコア9.8を記録しており、設定内容にかかわらず物理・仮想いずれのSecure Email Gatewayアプライアンスにも影響します。Ciscoは回避策が存在しないとしており、パッチ適用のみが唯一の対処法となります。
この不具合は、Ciscoの AsyncOSソフトウェアが受信メールを処理する方法に起因します。攻撃者はログインする必要すらありません。脆弱なゲートウェイに罠を仕込んだメッセージを送りつけ、エクスプロイトが成功すればroot権限でコマンドを実行できてしまいます。
これは、悪質なメールの侵入を防ぐ役割を担う機器にはあってはならない事態です。
Ciscoの製品セキュリティインシデント対応チーム(PSIRT)は9月に実際の悪用を認識したと述べていますが、攻撃の背後にいるのが誰か、どれくらいの期間続いているのか、どれだけの組織が侵害されたのかについては明らかにしていません。Ciscoはテクニカルアシスタンスセンター(TAC)のサポート案件を解決する過程でこの不具合を発見しました。
少なくとも一部のCiscoクラウド顧客が攻撃に巻き込まれたことを示す兆候もあります。Ciscoは自社のSecure Email Cloudサービスに属する機器を調査し、侵害の可能性を示す痕跡が見つかった顧客に直接連絡を取ったとしています。現在は復旧・修復作業を進めており、Secure Email Cloudの全機器はすでにAsyncOS 16.5.0-780へアップグレード済みだとしています。
自前でアプライアンスを運用している管理者は、もう少し作業が必要になります。Ciscoはログを確認して不審な活動の兆候がないか調べるよう推奨していますが、何も見つからないからといって必ずしもシステムが安全とは限らないと警告しています。
攻撃者がroot権限を得た場合、ログを改ざんして痕跡を消している可能性があるとCiscoは述べています。ゲートウェイ自体の記録を鵜呑みにするのではなく、ネットワークログやファイアウォールログも確認して不審な点がないか調べるよう管理者に呼びかけています。
侵害が疑われる仮想アプライアンスについて、Ciscoの復旧に関する助言はかなり踏み込んだ内容です。フォレンジック証拠を保全したうえで、修正済みソフトウェアを実行する新しい仮想マシンを展開し、設定を再構築し、認証情報と暗号鍵を入れ替えるよう求めています。
Ciscoはこの不具合をAsyncOSのリリース15.5.5-014、16.0.4-302、16.5.0-780で修正しており、顧客には最後のバージョンへの移行を強く推奨しています。
攻撃対象となりうる機器はまだかなりの数に上ります。Shadowserver Foundationは、月曜日時点でインターネットに露出しているCisco Secure Email Gatewayアプライアンスが400台以上存在すると追跡しています。
この脆弱性はCISAの既知悪用脆弱性(KEV)カタログにも追加されており、米連邦政府の文民機関は9月17日までに修復するよう命じられています。
CVE-2026-76461が発覚したのは、攻撃者が別の重大なAsyncOSの脆弱性であるCVE-2025-20393を悪用してCisco Secure Email Gatewayアプライアンスに侵入し、永続化の仕組みを仕込んでいたことが判明してから1年も経たないうちのことです。この脆弱性は最終的に満点となる10.0のスコアを記録しました。
影響を受けるゲートウェイを今も稼働させている人へのメッセージは至ってシンプルです。悪意あるメールを検知するはずの機器そのものが、その1通のメールによって乗っ取られかねません。攻撃者はすでにそれを実行しており、隠れる場所となる回避策は存在しないのです。®
