悪意のあるメール添付ファイルによって、攻撃者は脆弱なCisco Secure Email Gatewayアプライアンス上でroot権限のコマンドを実行できる。誰もファイルを開かなくても実行される可能性がある。
Ciscoは2026年10月14日、CVE-2026-76519が実際に悪用されていることを確認した。深刻度の高いこの脆弱性のCVSSスコアは9.8で、認証もユーザー操作も必要としない。Cybersecurity and Infrastructure Security Agency（CISA）はこの脆弱性をKnown Exploited Vulnerabilitiesカタログに追加し、対象となる連邦機関に10月17日までの修正期限を設定した。
この欠陥は、悪意のあるメールを傍受するために設計されたセキュリティインフラに影響する。root権限を持つ攻撃者は侵入の証拠を隠蔽できるため、管理者はパッチ適用と併せて侵害の可能性を調査しなければならない。CISAの悪用された脆弱性の一覧では、対象となる機関に対し、連邦政府の指針に基づくフォレンジック・トリアージの実施も求めている。
どのCiscoメールゲートウェイが脆弱なのか？
Ciscoが10月14日に公開したアドバイザリーによると、CVE-2026-76519はSecure Email GatewayのAdvanced Malware Protection（AMP）機能に存在する相対パストラバーサルの脆弱性（CWE-23）だ。細工された添付ファイルによって、任意のファイル書き込みやroot権限でのコマンド実行が引き起こされる可能性がある。
物理アプライアンスと仮想アプライアンスは、影響を受けるAsyncOSリリースを実行し、以下の両方の条件を満たしている場合に脆弱となる。
- AMP File Reputationが有効になっており、受信または送信メールポリシーに割り当てられている。
- Content Scanner Toolsのバージョンが25.3.0.5525より古い。
管理者はスキャナーのバージョンを確認し、contentscannerstatus関連するメールポリシーでFile Reputationの設定を調べることができる。Cisco Secure Email and Web ManagerとSecure Web Applianceは影響を受けない。
Ciscoは別のSecure Email Gatewayゼロデイ脆弱性を9月14日に公表した。このSQLインジェクションの欠陥（CVE-2026-76461）は構成にかかわらず脆弱なアプライアンスに影響し、別途、露出状況を評価する必要がある。
これとは別に9月に発生したCisco Firewall Management Centerへの攻撃では、認証情報の窃取と内部ネットワークへのアクセスが確認された。Ciscoは、これらのインシデントを今回のゲートウェイ脆弱性と関連付けていない。
CVE-2026-76519のパッチ適用と侵害確認
Ciscoは、修正済みのAsyncOSバージョン15.5.5-014および16.5.0-780をリリースした。ライセンスがありサポート対象のインストール環境では、ソフトウェア全体のアップグレードや再起動を行わずに、Content Scanner Toolsバージョン25.3.0.5525以降を適用することもできる。
管理者はスキャナーの更新を開始できる。contentscannerupdateこの脆弱性に対処する回避策はなく、修正プログラムをインストールしても、攻撃者が過去にアクセスを得ていたかどうかは判明しない。
セキュリティチームは、以下の対応を優先すべきだ。
- 露出状況を確認し、パッチを適用する：AsyncOSのリリース、File Reputationポリシー、スキャナーのバージョンを確認する。適切な修正プログラムを適用し、インストールを検証する。
- 侵害を調査する：各アプライアンス（クラスターメンバーを含む）で
grep "System Security" system_logsを実行し、外部ファイアウォールやネットワークのログと照合する。 - 管理アクセスを制限する：管理者接続を信頼できるホストに限定し、管理インターフェースとメール処理インターフェースを分離して、強力な認証を適用する。
- 不要なサービスを減らす：適切な場合は使用していないHTTPおよびFTPサービスを無効にし、ファイアウォールを通じて管理トラフィックを制限する。
- 証拠を保全する：ログを外部ストレージに転送する。侵害が疑われる場合は、フォレンジックデータを保全し、Cisco Technical Assistance Center（TAC）に連絡する。
- インシデント対応計画をテストする：インシデント発生時に必要となる前に、証拠保全、認証情報の交換、クラスター復旧の手順を検証する。
Ciscoのログチェックでは、侵害が疑われる兆候、セキュリティスキャンの未完了、兆候が検出されなかった状態を区別できる。侵害が疑われる兆候を発見した管理者は、Cisco TACに連絡し、その復旧ガイダンスに従うべきだ。スキャンが完了していない場合も、TACの支援を受ける必要がある。
Ciscoは、侵害された可能性のある物理アプライアンスについてTACの支援を受けるよう推奨している。仮想アプライアンスの復旧では、証拠を保全し、クリーンなVMを展開し、以前のファイルをインポートせずに構成を再構築したうえで、認証情報と暗号化マテリアルを更新する。
SSH鍵が流出すると、他のクラスターメンバーもリスクにさらされる可能性がある。Ciscoは管理対象のSecure Email Cloudインフラを更新し、侵害の可能性を示す兆候がある顧客に連絡した。
最近のSharePointの悪用と同様に、パッチ適用はフォレンジック調査と並行して進める必要があるかもしれない。修正プログラムをインストールしても、攻撃者が過去にゲートウェイを侵害したか、未承認のアクセス手段を残したかどうかは判明しない。
さらに詳しく：Ciscoの重大なNexusスイッチの脆弱性は、ソフトウェアのバージョンと有効化された機能によって、ネットワークインフラ全体でrootアクセス攻撃への露出が決まり得ることを示している。