Ciscoのメールゲートウェイを完全に乗っ取るために、攻撃者が必要とするのはもはや巧妙に細工されたメール1通だけです。CVE-2026-76461として識別されたこの重大な脆弱性は、実際の攻撃で既に悪用されています。恐ろしいことに、この脆弱性は認証を経ていない遠隔の攻撃者に対し、root権限による任意のコマンド実行を許してしまいます。
SQLインジェクション攻撃の仕組み
この根本的な欠陥は、Secure Email Gateway向けに設計されたCisco AsyncOSのメール解析エンジン内に存在します。受信データストリームの検証が著しく不十分であるため、悪意ある攻撃者は脆弱なゲートウェイを通過するメールに破壊的なSQLコマンドを容易に埋め込むことができます。その結果、このSQLインジェクションはデータベースの境界を突破し、最終的には基盤となるOS上での任意のコマンド実行を引き起こします。
この深刻な脆弱性は、CVSS深刻度スケールで10点満点中9.8という高いスコアを獲得しています。攻撃を成立させるにはアクティブなユーザーアカウントは一切不要で、ユーザー操作も必要なく、複雑な前提条件も完全に回避されます。Cisco Secure Email Gatewayの物理アプライアンスと仮想インスタンスの両方が、具体的なデバイス構成にかかわらず深刻な脅威にさらされています。幸いなことに、Secure Email and Web ManagerおよびSecure Web Applianceはこの特定の欠陥の影響を受けません。
root権限奪取と証跡隠蔽の危険性
侵害成功後に取得されるアクセス権限のレベルは、極めて危険なものです。root権限を確保すると、攻撃者はメールゲートウェイを完全に支配下に置くだけでなく、自らの悪意ある活動の痕跡を徹底的に消去・隠蔽する能力も手に入れます。2026年初めにも、AsyncOSは同様に深刻な事態に見舞われており、その際は攻撃者が別の重大な脆弱性を通じてゲートウェイを制圧し、システム内部に深く根を張った足場を築いていました。
Ciscoは管理者に対し、侵害の兆候がないかmail_logsを精査するよう緊急に呼びかけています。特に不審な痕跡の一つとして、「COPY … TO PROGRAM」という構文を含むSQL構造が挙げられます。ただし、こうしたログ記録が見当たらないからといって、システムが無事だと断言することは決してできません。root権限を得た攻撃者は、ローカルのログファイルを容赦なく改ざんできるからです。Ciscoは、外部のネットワークログやファイアウォール記録についても追加の監査を実施するよう強く推奨しています。管理者は、外部IPアドレスへの異常なデータ流出や、不審な外部ノードとの不正な接続がないか、細心の注意を払う必要があります。
対処方法とこれまでの経緯
この問題に対する必須の修正は、AsyncOSバージョン15.5.5-014、16.0.4-302、16.5.0-780に組み込まれています。Ciscoは影響を受けるすべての組織に対し、直ちにバージョン16.5.0-780へ移行するよう強く求めています。この大きな脆弱性を塞ぐための一時的な緩和策は、包括的なアップデート以外に存在しません。Ciscoはクラウドベースの全てのCisco Secure Email Cloudインスタンスを自主的に更新済みです。さらに、侵害の兆候が見られた顧客に対しては直接連絡を行っています。
組織が仮想ゲートウェイの侵害を疑う場合、Ciscoはフォレンジックデータをすべて保全した上で、パッチ適用済みのソフトウェアバージョンを用いた全く新しい仮想マシンを展開し、設定を一から再構築し、認証情報および重要な暗号鍵をすべてローテーションするよう強く推奨しています。物理アプライアンスが侵害された場合は、直ちにテクニカルサポートへ連絡するよう案内しています。9月14日に公開された公式のCiscoのセキュリティ勧告(ESAインジェクション脆弱性関連)によると、Cisco PSIRTは2026年9月にCVE-2026-76461が実際に悪用されていることを認識したとしています。この脆弱性自体は、顧客からの緊急サポート依頼に対する徹底的なフォレンジック分析の過程で発見されました。
今回の新たな攻撃は、Secure Email Gatewayの運用担当者にとって、残念ながら見覚えのある展開の繰り返しに過ぎません。2025年12月、CiscoはAsyncOSを標的とした激しい攻撃について深刻な警告を発していました。そのキャンペーンでは、それまで未知だったゼロデイ脆弱性により、攻撃者はメールゲートウェイを完全に掌握し、非常に永続性の高いバックドアを仕込む力を得ていました。
その1か月後、Ciscoはようやくこの脆弱性に対するパッチを配布し、これはのちにCVE-2025-20393として分類されました。この過酷な攻撃は少なくとも11月下旬から継続的に行われており、Cisco Talosはこの大規模なキャンペーンの犯行をUAT-9686脅威集団によるものと正式に断定しました。この先行するAsyncOSのインシデントは、現在のゲートウェイ管理者が単純なソフトウェア更新だけで満足するのではなく、既存の侵害がないかを徹底的に監査すべき理由を如実に物語っています。
翻訳元: https://meterpreter.org/cisco-secure-email-gateway-vulnerability/
