Cisco Email Gatewayのゼロデイ脆弱性が悪用される、root権限の奪取に危険

悪意のあるメール添付ファイルによって、脆弱なCisco Secure Email Gatewayアプライアンス上で、攻撃者がroot権限でコマンドを実行できる恐れがあります。ユーザーがファイルを開かなくても攻撃は成立します。

Ciscoは2026年10月14日、CVE-2026-76519が実際に悪用されていることを確認しました。この重大な脆弱性のCVSSスコアは9.8で、認証もユーザー操作も必要ありません。米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、この脆弱性を既知の悪用された脆弱性（KEV）カタログに追加しました。対象となる連邦機関には、10月17日までの対処を義務付けています。

この欠陥が存在するのは、悪意あるメールを遮断するために設計されたセキュリティ基盤です。root権限を奪った攻撃者は侵入の痕跡を隠蔽する可能性があるため、管理者はパッチ適用に加えて、侵害の有無も調査する必要があります。CISAの悪用済み脆弱性リストでは、対象機関に対し、連邦政府のガイダンスに沿ったフォレンジックのトリアージも求めています。

脆弱なCisco Email Gatewayはどれか

Ciscoが10月14日に公表したアドバイザリによると、CVE-2026-76519は、Secure Email GatewayのAdvanced Malware Protection（AMP）機能に存在する相対パストラバーサルの脆弱性（CWE-23）です。細工された添付ファイルによって、任意のファイル書き込みとroot権限でのコマンド実行を引き起こせます。

物理アプライアンスと仮想アプライアンスのどちらも、影響を受けるAsyncOSリリースを実行し、次の2つの条件が両方とも当てはまる場合に脆弱です。

• AMP File Reputationが有効で、受信または送信のメールポリシーに割り当てられている。
• Content Scanner Toolsのバージョンが25.3.0.5525より古い。

管理者はcontentscannerstatusを使ってスキャナのバージョンを確認できます。また、該当するメールポリシーでFile Reputationの設定も確認してください。Cisco Secure Email and Web ManagerとSecure Web Applianceは影響を受けません。

Ciscoは9月14日にも、Secure Email Gatewayの別のゼロデイ脆弱性を公表しています。SQLインジェクションの脆弱性であるCVE-2026-76461は、設定にかかわらず脆弱なアプライアンスに影響するため、別途、露出状況を評価する必要があります。

9月に発生したCisco Firewall Management Centerへの攻撃は、認証情報の窃取や内部ネットワークへのアクセスを伴うものでした。Ciscoは、これらの事案と今回のゲートウェイの脆弱性との関連を明らかにしていません。

CVE-2026-76519へのパッチ適用と侵害の確認

Ciscoは、修正版のAsyncOSバージョン15.5.5-014と16.5.0-780をリリースしました。ライセンスを持つサポート対象の環境では、ソフトウェア全体のアップグレードや再起動をしなくても、Content Scanner Toolsのバージョン25.3.0.5525以降を適用できます。

管理者はcontentscannerupdateを使ってスキャナの更新を開始できます。この脆弱性に対する回避策はありません。また、修正を適用しても、攻撃者が以前に侵入していたかどうかは判明しません。

セキュリティチームは、次の対応を優先して進めてください。

• 露出の確認とパッチ適用：AsyncOSのリリース、File Reputationポリシー、スキャナのバージョンを確認します。適切な修正を適用し、インストールを検証します。
• 侵害の調査：クラスタのメンバーを含む各アプライアンスでgrep "System Security" system_logsを実行し、結果を外部のファイアウォールやネットワークのログと突き合わせます。
• 管理アクセスの制限：管理用の接続を信頼できるホストに限定し、管理用とメール処理用のインターフェースを分離したうえで、強力な認証を徹底します。
• 不要なサービスの削減：使用していないHTTPやFTPのサービスは、必要に応じて無効にし、管理トラフィックはファイアウォールで制限します。
• 証拠の保全：ログを外部ストレージに転送します。侵害が疑われる場合は、フォレンジックデータを保全し、Cisco Technical Assistance Center（TAC）に連絡します。
• インシデント対応計画のテスト：証拠の保全、認証情報の入れ替え、クラスタの復旧手順を、インシデントが起きる前に検証しておきます。

Ciscoのログ確認では、侵害の疑いがある兆候、セキュリティスキャンの未完了、兆候なしの3つを区別しています。侵害の疑いがある兆候を見つけた管理者は、Cisco TACに連絡し、その復旧ガイダンスに従ってください。スキャンが未完了の場合も、TACの支援を受けるべきです。

Ciscoは、侵害された可能性のある物理アプライアンスについて、TACの支援を受けるよう推奨しています。仮想アプライアンスの復旧では、証拠を保全し、クリーンな仮想マシンを展開します。そのうえで、以前のファイルをインポートせずに設定を再構築し、認証情報と暗号関連の素材を更新します。

SSH鍵が漏えいすると、クラスタ内の他のメンバーも危険にさらされる恐れがあります。Ciscoは、同社が管理するSecure Email Cloudのインフラを更新済みです。侵害の兆候が見つかった顧客にも連絡しています。

最近のSharePointの悪用事例と同様に、今回もフォレンジック調査と並行してパッチ適用を進める必要があるかもしれません。修正を適用しても、攻撃者が過去にゲートウェイを侵害したか、不正なアクセス手段を残したかどうかは分かりません。

関連記事：CiscoのNexusスイッチの重大な脆弱性は、ソフトウェアのバージョンと有効化された機能によって、ネットワークインフラ全体でroot権限を狙う攻撃への露出が左右されることを示しています。