Cisco、Secure Email GatewayのゼロデイRCE脆弱性が攻撃で悪用されていると警告

Cisco は、Cisco Secure Email Gateway の Advanced Malware Protection（AMP）機能に存在するゼロデイ脆弱性が、攻撃者によって積極的に悪用されていると警告しました。

ExploitPrevention Tools

認証されていないリモートの攻撃者がこの脆弱性を悪用すると、任意のファイルを書き込み、基盤となるOS上でroot権限のコマンドを実行できます。セキュリティアドバイザリ「cisco-sa-esa-afw-zqYJkjxp」によると、Cisco PSIRTは2026年10月に実際の悪用を把握しました。

なお、アドバイザリのページは取得できなかったため、本記事は提供されたアドバイザリの文面に基づいています。現時点ではCVE IDもCVSSスコアも付与されていません。Ciscoが公表し次第、追記する必要があります。

Cisco製メールゲートウェイのゼロデイ脆弱性

この脆弱性は、File Reputationサービスが有効な場合に、電子メールの添付ファイルが不適切に処理されることが原因です。攻撃者は、細工した添付ファイル付きのメールを脆弱なゲートウェイ経由で送信します。

認証もユーザー操作も不要です。悪用に成功すると、攻撃者は任意のファイル書き込みと、root権限でのコマンド実行が可能になります。

物理・仮想を問わず、Cisco Secure Email Gatewayのアプライアンスは、次の2つの条件を両方満たす場合に影響を受けます。Cisco AMPの一部であるFile Reputationサービスが有効でメールポリシーに割り当てられていること、そしてContent Scanner Toolsのバージョンが25.3.0.5525より前であることです。

Ciscoは、Secure Email and Web ManagerとSecure Web Applianceは影響を受けないと確認しています。管理者はWebインターフェースでFile Reputationの状態を確認できます。「Mail Policies > Incoming or Outgoing Mail Policies > Advanced Malware Protection」に進み、ポリシーの「Enable File Reputation」チェックボックスを確認します。スキャナのバージョンは、CLIコマンドのcontentscannerstatusで確認できます。バージョン25.2.0.5427.15.5.001は脆弱です。

root権限を奪われると、攻撃者は痕跡を削除または隠蔽できます。そのため、調査結果に異常がなくても安全とは言い切れません。Ciscoは、デバイス外部のネットワークログやファイアウォールログを突き合わせて確認するよう促しています。

具体的には、アプライアンスから外部IPアドレスへの不審なアップロードや、悪意のあるIPからのダウンロードを調べる必要があります。

CLIにアクセスできないSecure Email Cloudの管理者は、これらの兆候を自分で確認できない可能性があります。Ciscoは、悪意のある活動を検知したクラウド顧客に直接連絡しています。

Ciscoが公開したアドバイザリによると、回避策はありません。修正はContent Scanner Tools 25.3.0.5525以降で提供され、ライセンスを持つサポート対象のすべてのAsyncOSリリースに配信されます。適用にソフトウェアのアップグレードや再起動は不要です。

Ciscoは、16.5より前のリリースを使用している顧客に対し、16.5.0-780への移行を推奨しています。自動更新を有効にしている顧客は、更新が適用されれば何もする必要はありません。それ以外の場合は、CLIでcontentscannerupdateを実行してください。

自動更新を有効にするには、「Security Services > Service Updates > Edit Update Settings」に進みます。続いて「Automatic Updates」を選択し、送信（submit）して変更をコミットします。Secure Email Cloud Gatewayの顧客は、Ciscoがすでに修正パッケージを展開済みのため、対応は不要です。

CyberSecurity Tools

物理アプライアンスで侵害が疑われる場合は、Cisco TACに連絡し、調査を迅速に進めるためリモートアクセスを有効にしてください。

仮想アプライアンスの場合、Ciscoは次の手順を推奨しています。まず、侵害されたインスタンスをアップグレードするとログが失われるため、フォレンジックデータを保全します。次に、修正済みリリースで新しい仮想マシンを展開し、古い設定ファイルをインポートせずに設定を再構築します。そのうえで、すべての認証情報と暗号関連の情報を更新し、異常な挙動の監視を継続します。

クラスタのメンバー同士は、SSH鍵ペアで相互に認証しています。攻撃者は、侵害した1台のアプライアンスから秘密鍵を盗み出し、他のメンバーの乗っ取りに利用する可能性があります。このためCiscoは、侵害されたアプライアンスが1台でも含まれるクラスタについては、全メンバーを復旧するよう推奨しています。

Ciscoはさらに、一般的なハードニング対策も推奨しています。アプライアンスへのインターネットアクセスを遮断するか信頼できるホストに限定すること、メールと管理のトラフィックを別々のネットワークインターフェースに分けること、HTTPとFTPを無効にすること、ログを外部サーバに送信すること、SAMLまたはLDAP認証を使用すること、デフォルトの管理者パスワードを変更することなどです。

Ciscoは、Secure Email GatewayおよびSecure Email and Web Manager向けに、2026年9月のSecurity Hardening Releaseも公開しています。