Cisco Secure Email Gatewayにゼロデイ 脆弱性「CVE-2026-76519」、サイバー攻撃で悪用

Ciscoは2026年10月14日、メールセキュリティ製品「Cisco Secure Email Gateway」に存在する重大な脆弱性「CVE-2026-76519」を公表し、修正版を公開しました。Cisco Product Security Incident Response Team（PSIRT）は10月中に、この脆弱性が実際の攻撃で悪用されていることを把握しています。

脆弱性はメール添付ファイルの処理に関係しており、認証されていない遠隔の攻撃者が、細工した添付ファイルを含むメールを送信することで、ゲートウェイ上に任意のファイルを書き込み、最終的にroot権限でコマンドを実行できる可能性があります。CVSS v3.1の基本値は9.8（Critical）です。

米国サイバーセキュリティ・インフラセキュリティ庁（CISA）も同日、実際の悪用を確認した脆弱性を掲載するKEVカタログへ追加しました。

CVE-2026-76519のサマリー

• 公表日：2026年10月14日（Cisco Security Advisory）
• CVE：CVE-2026-76519、Cisco Bug ID：CSCwu56223
• 深刻度：Critical、CVSS v3.1：9.8、CWE-23（相対パス・トラバーサル）
• 対象製品：Cisco Secure Email Gatewayの物理・仮想アプライアンス
• 攻撃条件：AMPのFile Reputation（ファイルレピュテーション）がメールポリシーに設定され、Content Scanner Toolsが25.3.0.5525未満
• 影響：認証不要の遠隔攻撃により任意ファイル書き込み、root権限でのコマンド実行につながる恐れ
• 悪用状況：Cisco PSIRTが2026年10月に実悪用を把握
• 修正方法：Content Scanner Toolsを25.3.0.5525以降へ更新するか、修正済みAsyncOSへ移行
• 回避策：Ciscoは脆弱性を解消するワークアラウンドはないと説明
• CISA KEV：2026年10月14日追加。米連邦政府機関向けの対応期限は10月17日

添付ファイルを起点にroot権限を奪われる恐れ

Ciscoの説明によると、問題はSecure Email GatewayのAdvanced Malware Protection（AMP）機能で、メール添付ファイルを適切に扱えないことに起因します。相対パス・トラバーサルの脆弱性を悪用されると、攻撃者に意図しない場所へのファイル書き込みを許す可能性があります。

攻撃の起点はメール処理であり、管理画面にログインする必要はありません。ゲートウェイは外部からのメールを受け取るため、管理用インターフェースへの接続を社内ネットワークに限定していても、それだけで今回の問題を解消できません。

ただし、影響の有無はアプライアンスの機能設定とContent Scanner Toolsの実際のバージョンに依存します。Secure Email Gatewayを導入しているすべての機器が一律に脆弱というわけではありません。

影響の確認方法―AMP設定とContent Scanner Toolsの両方を確認

Ciscoが示す影響条件は、次の2つをともに満たすことです。

1. AMPのFile Reputationサービスが有効で、受信または送信メールのポリシーに割り当てられている。
2. Content Scanner Toolsのバージョンが25.3.0.5525より古い。

File Reputationの設定は管理画面のMail Policies > Incoming Mail Policies > Advanced Malware ProtectionまたはMail Policies > Outgoing Mail Policies > Advanced Malware Protectionで対象のメールポリシーを開き、Enable File Reputationのチェックを確認します。

Content Scanner Toolsのバージョンは、Secure Email GatewayのCLIでcontentscannerstatusを実行して確認できます。製品のAsyncOSバージョンだけでなく、当該コンポーネントに修正が適用されているかを確認することがポイントです。

修正版と更新方法―コンテンツスキャナーは再起動不要で更新可能

Ciscoが示すAsyncOSの最初の修正版は、次のとおりです。

Ciscoは16.5より古いリリースの利用者に、16.5.0-780への移行を強く推奨しています。なお、上表は今回のCVE-2026-76519に関するものです。16.0系列について特定の修正版番号を推測して適用せず、Ciscoの案内に沿って修正済みリリースへ移行してください。

また、サポート対象でライセンスが有効なAsyncOSには、Content Scanner Toolsの更新としても修正が配信されています。25.3.0.5525以降に更新すれば本脆弱性の修正が含まれます。

Content Scanner Toolsの更新は、通常の製品ソフトウェア全体のアップグレードや再起動を必要としません。自動更新が有効な環境では適用状況を確認し、無効な環境ではCLIのcontentscannerupdateで更新できます。自動更新の設定はSecurity Services > Service Updatesから確認可能です。

Ciscoは、本脆弱性を解消するワークアラウンドは存在しないとしています。一般的なアクセス制限やネットワーク分離は重要ですが、修正の適用に代わるものではありません。

Ciscoが公開した侵害の確認方法―本体ログだけで判断しない

Ciscoは、Secure Email Gatewayのsystem_logsにある「System Security」の記録を確認するよう案内しています。CLIでの確認例は次のとおりです。

grep "System Security" system_logs

クラスタ構成の場合は、すべての構成機器でログを確認します。

Ciscoは、攻撃者がroot権限を取得した場合、侵害の痕跡を消去・隠蔽できる可能性があると指摘しています。このため、機器内部のログだけでなく、ファイアウォールや外部のネットワークログも突き合わせ、ゲートウェイから外部IPアドレスへの予期しないデータ送信や、不審なダウンロードの有無を調べる必要があります。

「侵害指標が検出されなかった」というログ結果も、すべての侵害可能性を否定する保証ではありません。

侵害が疑われる仮想アプライアンスは証拠保全後に再構築

Ciscoは、侵害の疑いがあるオンプレミスの仮想Secure Email Gatewayに対し、パッチ適用だけでなく安全な構成への復旧を推奨しています。

1. フォレンジック情報とログを先に保全する。
2. 修正済みリリースを実行する新しい仮想マシンを展開する。
3. 以前の設定ファイルをインポートせず、設定を再構築する。
4. 保存されていた認証情報や証明書、秘密鍵などの暗号材料を更新する。
5. 復旧後も異常な挙動を監視する。

Ciscoは、侵害された機器を更新するとフォレンジックデータやログが失われる可能性があるため、作業に先立って証拠を保存するよう警告しています。物理アプライアンスに侵害の疑いがある場合は、Cisco Technical Assistance Center（TAC）への相談を推奨しています。

クラスタ構成では、構成機器間の認証に使用するSSH秘密鍵が侵害機器から読み取られる可能性があります。Ciscoは、1台でも侵害された場合、クラスタの各メンバーも安全な構成へ復旧することを強く推奨しています。

Cisco Secure Email Cloudは修正済み、対象顧客へ個別通知

Cisco Secure Email Cloud Gatewayについては、Ciscoが管理するインフラ側で対策を実施し、修正版のContent Scanner Toolsを配備済みと説明しています。このため、クラウド利用者によるコンポーネントの手動更新は不要です。

一方、CiscoはSecure Email Cloudの端末について脅威インテリジェンス調査を行い、侵害の可能性を示す指標が見つかった顧客へ直接連絡しています。該当する連絡を受けた利用者には、機器に保存されている認証情報や暗号材料の更新、アクセス制限などを推奨しています。

クラウド版で修正が適用済みであることと、過去に侵害されていないことは別の問題です。

CISA KEVに追加―米連邦政府機関の対応期限は10月17日

米CISAは2026年10月14日、CVE-2026-76519をKnown Exploited Vulnerabilities（KEV）カタログへ追加しました。CISAの公開データには、2026年10月17日を米連邦政府機関向けの対応期限として記載し、フォレンジック調査を必要とする対象にも指定しています。

この期限は日本の民間企業に一律に適用されるものではありません。ただし、すでに実悪用が確認された境界機器の脆弱性であり、メールセキュリティ基盤の侵害は他システムへのアクセスや通信の監視・改変につながる恐れがあります。

同製品では2026年9月にも、別の実悪用済み脆弱性「CVE-2026-76461」（SQLインジェクション）が公表されています。今回のCVE-2026-76519はAMP機能の添付ファイル処理に存在する相対パス・トラバーサルであり、別の問題です。過去の公表内容は、Cisco Secure Email GatewayのCVE-2026-76461に関する記事で確認できます。

情報システム部門・SOCが確認したいポイント

Secure Email Gatewayを利用する組織は、設置した全アプライアンスを対象として、次の順に確認を進めます。

• 物理機器・仮想機器・クラスタを含め、利用中の全機器とAsyncOSのリリース系列を特定する。
• 受信・送信メールポリシーのFile Reputation設定と、Content Scanner Toolsのバージョンを照合する。
• Content Scanner Toolsが修正版へ更新されているかを確認し、未適用なら更新する。必要に応じてAsyncOSを修正済みリリースへ移行する。
• 各機器のsystem_logsを点検し、ファイアウォールなど外部ログと照合する。異常があれば更新より先に証拠を保全し、Cisco TACと復旧方針を確認する。
• クラスタ機器間のSSH鍵、管理者認証情報、証明書などの更新要否を評価する。
• Cisco Secure Email Cloud利用者は、Ciscoからの個別通知の有無を確認する。

複数の境界機器やCVEの対応順を決める場合は、CVSSだけでなく実悪用の有無、外部からの到達性、修正状態を組み合わせる脆弱性管理の考え方も参考になります。

出典

• Cisco Secure Email Gateway Arbitrary File Write Vulnerability（cisco-sa-esa-afw-zqYJkjxp）— Cisco
• Known Exploited Vulnerabilities Catalog — CISA
• Known Exploited Vulnerabilities 公式公開データ — CISA（GitHubミラー）