シスコSecure Email Gatewayのゼロデイ脆弱性が悪用され、root権限でコマンド実行される事態に | eSecurity Planet

シスコは2026年9月14日、Cisco Secure Email Gatewayに存在する深刻なSQLインジェクションの脆弱性CVE-2026-76461を公開しました。この脆弱性は既に攻撃者による悪用が確認されています。

CVSSスコアは9.8で、認証を経ていない遠隔の攻撃者が、影響を受けるアプライアンス上でroot権限によりコマンドを実行できてしまう可能性があります。

ログインや管理インターフェースへのアクセスは一切不要です。攻撃者は、アプライアンスが受信メールを検査する際に通常使用しているメール処理経路を通じてゲートウェイを攻撃対象にできるため、シスコによれば回避策も存在しません。

CVE-2026-76461がroot権限に至る仕組み

この脆弱性はCisco AsyncOSのメール解析ロジックに存在します。シスコのセキュリティ勧告によると、入力値の検証が不十分なため、悪意のあるSQL文を含む巧妙に作成されたメールが任意のSQL実行を引き起こし、最終的には基盤となるOS上でroot権限によるコマンド実行につながる恐れがあります。

シスコによれば、同社のProduct Security Incident Response Teamが9月に実際の悪用の存在を把握したとのことです。CISAは9月14日、CVE-2026-76461を既知の悪用済み脆弱性(KEV)カタログに追加し、対象となる連邦民間機関に対して9月17日を修正期限として設定しました。

Rapid7はこの一連の攻撃活動をゼロデイ攻撃だと位置づけています。脆弱性が公表された時点で、既に攻撃が観測されていたためです。

シスコは、専用の社内セキュリティ調査ではなく、Technical Assistance Center(TAC)のサポート案件を処理する過程でこの脆弱性を発見しました。

この脆弱性が注目される理由は、Secure Email Gatewayがメール経路上に直接位置し、マルウェアやフィッシング、スパムといった脅威を検出するために受信・送信メッセージを検査している点にあります。攻撃者は、脆弱なメール処理ロジックを攻撃対象にする前に、別途管理サービスへアクセスする必要がありません。

なお、これは今年これまでに悪用が確認されたSecure Email GatewayのRCE脆弱性とは別物です。あちらはCVE-2025-20393とSpam Quarantine機能に関わるものでした。

パッチが必要なCisco Secure Email Gatewayのバージョンは?

CVE-2026-76461は、設定内容にかかわらず、物理アプライアンスと仮想アプライアンスの両方のCisco Secure Email Gatewayに影響します。

シスコは以下を修正済みの最初のリリースとして挙げています。

• AsyncOS 15.5以前: 15.5.5-014

• AsyncOS 16.0: 16.0.4-302

• AsyncOS 16.5: 16.5.0-780

シスコは16.5.0-780への移行を強く推奨しています。

Secure Email and Web ManagerおよびSecure Web ApplianceはCVE-2026-76461の影響を受けません。

シスコは別途、Secure Email GatewayおよびSecure Email and Web Managerを対象とした9月のセキュリティ強化リリースも公開しており、こちらは社内で発見された複数の問題を5つのCVE IDにまとめたものです。これらの問題は、シスコが顧客サポート案件の中で発見したと説明しているCVE-2026-76461とは区別して扱うべきです。

Cisco Secure Email Cloudのデバイスは既に16.5.0-780へアップグレード済みです。ただし、シスコは悪意ある活動の痕跡が見られたクラウド顧客に対しては個別に連絡を取ったとも述べており、アプライアンスが更新済みであっても、これまで一度も侵害されていないとは限らない点に注意が必要です。

Cisco Secure Email Gatewayの侵害有無を確認する方法

この脆弱性の悪用に成功するとroot権限でのコマンド実行が可能になるため、シスコは攻撃者がアプライアンス自体に保存された証拠を削除・隠蔽する可能性があると警告しています。

管理者はmail_logsを確認し、不審なSQL文がないか調べる必要があります。シスコは(網羅的ではありませんが)以下の検索例を提示しています。

grep -i "COPY.*TO PROGRAM"

この検索でヒットがあれば悪意ある活動を示している可能性がありますが、ヒットがないからといって侵害を否定できるわけではありません。

シスコはまた、影響を受けたアプライアンス以外でも、ファイアウォールやネットワークのログを確認し、見慣れない外部IPアドレスへの予期しないアップロードや、悪意あるシステムからのダウンロードがないか調べることを推奨しています。

攻撃者がローカルの証拠を改ざんできるだけの権限を得ている可能性がある場合、独立したログ監視を維持することが特に重要になります。

物理アプライアンスで侵害が疑われる場合、シスコはCisco TACへの連絡を推奨しています。

侵害された仮想アプライアンスについては、変更を加える前にフォレンジック情報を保全し、修正済みのソフトウェアで新しい仮想マシンを展開し、設定を再構築し、認証情報や暗号鍵を更新した上で、異常な活動の監視を継続するようシスコは助言しています。

これらの対応は、通常のソフトウェア更新としてではなく、インシデントレスポンスの一環として実施すべきです。

セキュリティチームが今すぐ取るべき対応

CVE-2026-76461には回避策が存在しません。自社でSecure Email Gatewayアプライアンスを管理しているセキュリティチームは、通常のパッチ適用サイクルを待つのではなく、修正済みソフトウェアの適用を優先すべきです。

チームが行うべき対応は以下の通りです。

• 物理・仮想のSecure Email Gatewayアプライアンスを棚卸しし、各々のAsyncOSバージョンを記録する。

• 影響を受けるシステムを適切な修正済みリリースにアップグレードする。サポートされている環境では16.5.0-780が望ましい。

• mail_logsおよび外部のネットワーク・ファイアウォールのテレメトリを確認し、悪用が試みられた痕跡がないか調べる。

• 侵害が疑われるアプライアンスを再構築する前に、フォレンジック用の証拠を保全する。

• 攻撃者がroot権限を取得した可能性がある場合は、認証情報や暗号鍵を更新する。

• アプライアンスの管理アクセスを信頼できるホストやネットワークに限定する。

• 可能であれば、メール処理用と管理用のトラフィックを別々のインターフェースに分離する。

シスコは、侵害を受けた組織の数を公表しておらず、攻撃を特定の脅威アクターに公に帰属させてもいません。

実際の悪用が既に確認されている以上、パッチ適用によって既知の侵入経路は塞がれますが、各組織は修正版を導入する前に攻撃者がアプライアンスに到達していなかったかどうかも見極める必要があります。

関連記事: 攻撃者は、企業ネットワーク内で認証情報を窃取し、トンネルを確立してランサムウェアを展開するために、別系統のCisco FMCの脆弱性も悪用しています。