Cisco、Secure Email Gatewayの脆弱性が悪用されていると警告

Ciscoの「Secure Email Gateway」製品に存在する重大な脆弱性を悪用され、攻撃者に基盤となるオペレーティングシステム上で任意のファイルを書き込まれる恐れがあります。同社は水曜日に公開したセキュリティアドバイザリで、この脆弱性が実環境で悪用されていることを確認したとして、利用可能な修正を適用するよう顧客に促しています。

この脆弱性は同製品の「Advanced Malware Protection（AMP）」機能に存在し、File Reputationサービスが有効な場合に、電子メールの添付ファイルを適切に処理できないことが原因です。攻撃者が細工した添付ファイル付きのメールを脆弱なアプライアンス経由で送信すると、root権限でコマンドを実行できます。

Ciscoはこの脆弱性を修正するソフトウェアアップデートを公開しましたが、脆弱性に対処できる回避策はないと警告しています。

悪用には前提条件あり

この脆弱性はCVE-2026-76519として追跡されています。脆弱なCisco AsyncOSソフトウェアを実行している物理・仮想のCisco Secure Email Gateway アプライアンスが影響を受けますが、2つの条件を満たす場合に限られます。File Reputationサービスが有効でメールポリシーに割り当てられていること、そしてContent Scanner Toolsのバージョンが25.3.0.5525より前であることです。

File ReputationサービスはCisco AMPの一部で、電子メールゲートウェイを通過するファイルのレピュテーション（信頼度）を評価する役割を担います。今回のケースでは、添付ファイルの不適切な処理により、攻撃者が基盤となるオペレーティングシステムに任意のファイルを書き込めてしまいます。攻撃が成功すればroot権限でのコマンド実行につながり、アプライアンスがさらに侵害される可能性があります。

Ciscoは、アプライアンスを侵害した攻撃者が、アプライアンスクラスタのメンバー間の認証に使われるSSH秘密鍵にアクセスし、他のクラスタメンバーも侵害できる可能性があると警告しています。root権限を得た攻撃者は、自らの活動の痕跡を削除または隠蔽することもあります。

Ciscoは、コマンドgrep “System Security” system_logsを使ってアプライアンスのシステムログを確認し、侵害の痕跡を調べるよう推奨しています。ただし、何も検出されなかったからといって、より広範な調査を省略すべきではありません。同社は管理者に対し、外部のネットワークログやファイアウォールログも照合し、影響を受けたアプライアンスからの予期しないアップロードや、悪意のあるIPアドレスからのダウンロードといった不審な通信がないかを確認するよう勧めています。

パッチは提供済みだがインシデント対応も重要

Ciscoは、対応する各ソフトウェアブランチの修正版として、AsyncOS 15.5.5-014と16.5.0-780を挙げています。AsyncOS 16.0を利用している顧客には、修正版への移行を推奨しています。また同社によると、修正はContent Scanner Toolsのバージョン25.3.0.5525以降でも提供されており、ツールの更新にソフトウェアのアップグレードやアプライアンスの再起動は必要ありません。

侵害された可能性のある仮想アプライアンスについては、Ciscoは次の手順を推奨しています。まずフォレンジック証拠を保全したうえでシステムを再構築し、クリーンな仮想マシンを展開します。その際、以前の設定ファイルはインポートせずに設定を再構築し、認証情報と暗号関連の素材を更新します。

組織は、同じクラスタ内にある他のアプライアンスについても評価する必要があります。同社は、「Secure Email Cloud Gateway」の環境には、修正済みのContent Scanner Toolsパッケージをすでに展開したとしています。アドバイザリでは、被害者の数や、悪用の背後にいる攻撃者については明らかにされていません。