「メールゲートウェイにおけるroot権限・認証不要のRCEは、攻撃者にとって理想的な侵入口と言える」
シスコは、Secure Email Gatewayアプライアンスに存在する深刻な脆弱性に対して緊急パッチをリリースしました。この脆弱性を悪用すると、攻撃者は悪意を持って細工したメールをユーザーに送信するだけでデバイスを乗っ取ることが可能でした。修正版の公開時点で、この脆弱性はすでに実際の攻撃で悪用されていました。
CVE-2026-76461として追跡されているこの脆弱性は、製品のメール解析コードにおける検証不備が原因のSQLインジェクションであるとシスコは説明しています。受信メールメッセージを脅威の観点から解析することはこのアプライアンスの主要な機能であるため、攻撃経路は極めて単純です。
シスコはセキュリティ勧告の中で次のように述べています。「攻撃者は、悪意のあるSQL文を含む細工したメールメッセージを、影響を受けるデバイスに送信することでこの脆弱性を悪用できます。悪用に成功した場合、攻撃者は任意のSQL文を実行できるようになり、その結果、基盤となるオペレーティングシステム上でroot権限によるコマンド実行につながる可能性があります」
この脆弱性は物理版・仮想版の両方の製品に影響し、月曜日にリリースされたAsyncOSファームウェアのバージョン15.5.5-0141、16.0.4-3021、16.5.0-780で修正されています。シスコの製品セキュリティチームは今月初旬にこの脆弱性の実悪用を把握しており、米サイバーセキュリティ・インフラセキュリティ庁(CISA)はこれを既知の悪用済み脆弱性(KEV)カタログに追加しています。
侵害の痕跡が残っていない可能性
この脆弱性はゼロデイとして悪用されてきたため、パッチ適用済みのファームウェアバージョンにアップグレードするだけでは不十分です。各組織は、自社のアプライアンスがすでに侵害されていないかどうかも確認する必要があります。
確認方法の一つは、mail_logsを確認し、不審なSQL文がないか調べることです。ただし、悪用に成功すると攻撃者はデバイス上でroot権限を取得するため、その権限を使ってログを改ざんし、痕跡を隠蔽している可能性もあります。シスコは、デバイスと外部IPアドレス間でのファイルのアップロードやダウンロードなど、不審な activity の兆候がないか、デバイス外のネットワークログやファイアウォールログについても確認するよう推奨しています。
物理デバイスで侵害が疑われる場合、シスコはシスコテクニカルアシスタンスセンターへの連絡を推奨しています。仮想デバイスの場合は、すべてのフォレンジック情報を保存した上で、設定を再構築し認証情報をローテーションした新しいインスタンスを展開することが推奨されています。
Cisco Secure Email Cloudに登録されているデバイスについては、シスコがすでにレビューを実施済みで、侵害の兆候が見られたデバイスの所有者には個別に連絡が行われています。シスコの勧告には、デバイスのセキュリティ強化に関する一般的な推奨事項も記載されています。
セキュリティ企業Team Cymruの検知・分析担当バイスプレジデント、Josh Picolet氏はCSOの取材に対し次のように語っています。「メールゲートウェイにおけるroot権限・認証不要のRCEは、攻撃者にとって理想的な侵入口と言えます。CISAのKEVカタログに追加されたSecure Email Gatewayの脆弱性は、CVE-2025-20393に続いてこれが2件目にすぎません。この繰り返しは、エッジアプライアンスを使い捨ての標的としてではなく、持続的かつ再利用可能なアクセス手段として扱う攻撃者の行動パターンと合致しています」
