Cisco Secure EmailにS/MIMEの脆弱性(CVE-2026-20354,CVE-2026-20355)、暗号化メールの平文取得につながる可能性 IP電話のDoSも公表|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年09月08日更新日時: 2026年09月08日

Ciscoは2026年9月2日、Cisco Secure EmailのS/MIME復号機能に影響する2件の脆弱性「CVE-2026-20354」「CVE-2026-20355」と、Cisco Desk Phone／IP Phoneなどに影響するサービス妨害（DoS）の脆弱性「CVE-2026-20281」を公表しました。

CVE-2026-20354とCVE-2026-20355は、メールゲートウェイ間の通信でS/MIMEを利用しているCisco Secure Email環境が対象です。攻撃者が通信経路上でトラフィックを傍受・改変できる場合、暗号化されたメールから平文を取得される可能性があります。

CVE-2026-20281は、Cisco SIP Softwareを実行する一部のIP電話が対象です。Cisco Unified Communications Manager（Unified CM）へ登録され、Web Accessが有効な場合に悪用可能で、細工したHTTPパケットを継続的に送信されるとメモリ消費が進み、DoS状態になる可能性があります。

Cisco PSIRTは、S/MIMEの2件について公開情報が存在することを把握していますが、3件いずれについても悪意ある利用は確認していません。

Ciscoの3件の脆弱性のサマリー

Ciscoは2026年9月2日、Secure EmailのS/MIME関連2件とIP電話のDoS 1件を公表しました。
CVE-2026-20354はCVSS 3.1で5.9（Medium）、CWE-354です。
CVE-2026-20355はCVSS 3.1で5.9（Medium）、CWE-345です。
2件のS/MIME脆弱性は、Cisco AsyncOS Software Release 16.5.0以前を実行し、メールゲートウェイ間通信でS/MIMEを構成しているCisco Secure Emailに影響します。
S/MIMEの脆弱性が悪用されると、通信経路上の攻撃者が暗号化メールの平文を取得できる可能性があります。
CVE-2026-20281はCVSS 3.1で7.5（High）、CWE-401です。
CVE-2026-20281はCisco SIP Softwareを実行する対象電話機のうち、Unified CMに登録され、Web Accessが有効な環境で悪用可能です。Web Accessはデフォルトで無効です。
Cisco PSIRTは、S/MIMEの2件について「public announcement」が存在するとしていますが、悪意ある利用は把握していません。電話機の脆弱性については、公開情報や悪用を把握していないとしています。
2026年9月7日時点で、3件がCISA Known Exploited Vulnerabilities（KEV）Catalogに掲載されていることは確認できませんでした。
Secure Emailの2件には回避策がなく、Ciscoは修正版への更新を案内しています。修正版番号は公開アドバイザリ本文では列挙されておらず、Cisco Bug IDのDetails確認が必要です。
電話機の脆弱性にも完全な回避策はありませんが、Web Accessを無効化することで緩和できます。

CVE	対象	CVSS 3.1	CWE	主な影響	悪用状況
CVE-2026-20354	Cisco Secure Email	5.9 Medium	CWE-354	S/MIME暗号化メールの平文取得	Ciscoは悪意ある利用を把握していない
CVE-2026-20355	Cisco Secure Email	5.9 Medium	CWE-345	S/MIME暗号化メールの平文取得	Ciscoは悪意ある利用を把握していない
CVE-2026-20281	Cisco Desk Phone／IP Phone／Video Phone	7.5 High	CWE-401	メモリ消費によるDoS	Ciscoは公開情報・悪用を把握していない

CVE-2026-20354／CVE-2026-20355はS/MIMEのメッセージ完全性検証に不備

Ciscoによると、CVE-2026-20354とCVE-2026-20355は、Cisco Secure EmailのS/MIME復号機能におけるメッセージ完全性の検証が不十分であることに起因します。

攻撃には、メールゲートウェイ間の通信を傍受・改変できるmachine-in-the-middle（中間者）位置が必要です。攻撃に成功した場合、暗号化通信から平文コンテンツを取得される可能性があります。

両脆弱性のCVSSベクトルは「CVSS:3.1/AV/AC/PR/UI/S/C/I/A」で、攻撃元区分はNetwork、攻撃条件の複雑さはHigh、認証とユーザー操作は不要です。機密性への影響はHighと評価されています。

CVE Programの公式CVEレコードでは、CVE-2026-20354はCWE-354「Improper Validation of Integrity Check Value」、CVE-2026-20355はCWE-345「Insufficient Verification of Data Authenticity」に分類されています。

この問題はS/MIME暗号方式そのものが破られるという説明ではありません。Ciscoが公表しているのは、Cisco Secure EmailのS/MIME復号処理における完全性検証の不備です。

影響するCisco Secure Emailの条件

Ciscoの公開アドバイザリでは、次の2条件を満たすCisco Secure Emailが影響対象とされています。

Cisco AsyncOS Software Release 16.5.0以前を実行している
メールゲートウェイ間通信でS/MIMEを構成している

そのため、AsyncOSのバージョンだけでは影響有無を判定できません。管理者は、対象装置のバージョンと、メールゲートウェイ間でS/MIMEを利用しているかを合わせて確認する必要があります。

CVE Programの公式CVEレコードにも、13.x、14.x、15.x、16.0.x、16.5.0-780など複数の影響ビルドが登録されています。

Secure Emailの2件は回避策なし、修正版番号はCisco Bug Searchで確認

Ciscoは、CVE-2026-20354とCVE-2026-20355に対する回避策はないとしています。対策として修正版へのアップグレードを推奨しています。

一方、2026年9月7日時点の公開アドバイザリ本文には、具体的な最初の修正版番号は掲載されていません。Ciscoは次のBug IDのDetailsで修正版を確認するよう案内しています。

CVE-2026-20354：CSCwu28364
CVE-2026-20355：CSCwu28362

Cisco Bug SearchのDetailsは確認時にCiscoアカウントでのログインへ遷移したため、本稿では外部情報から修正版ビルドを推測していません。対象環境ではCisco Bug Search、Cisco TAC、保守ベンダーを通じて適用すべき修正版を確認してください。

「公開情報あり」と「悪用確認」は分けて判断

Cisco PSIRTは、CVE-2026-20354とCVE-2026-20355について、脆弱性に関する「public announcement」が存在することを把握しているとしています。

ただし、Ciscoは悪意ある利用を把握していません。CVE Programの公式レコードに含まれるCISA ADPのSSVC評価でも、2026年9月2日時点のExploitationは「none」です。

「public announcement」が存在することだけを根拠に、PoCが公開された、実際の攻撃で悪用されている、攻撃コードが一般公開された、と判断することはできません。CiscoのアドバイザリはPoC公開の有無を明記していません。

2026年9月7日時点で、CVE-2026-20354、CVE-2026-20355、CVE-2026-20281がCISA KEV Catalogに掲載されていることも確認できませんでした。

CVE-2026-20281はCisco IP電話をDoS状態にする可能性

CVE-2026-20281は、Cisco SIP Softwareを実行する一部の電話機に存在するメモリ管理の不備です。CVSS 3.1の基本値は7.5（High）、CWE-401「Missing Release of Memory after Effective Lifetime」に分類されています。

Ciscoによると、対象機器がHTTPパケットを処理するときのメモリ管理が適切でないことが原因です。認証されていないリモートの攻撃者が細工したHTTPパケットを継続的に送信すると、対象電話機が継続的にメモリを消費し、DoS状態になる可能性があります。

DoS状態から復旧するには、電話機を手動で再起動する必要があります。

ただし、脆弱なソフトウェアを実行しているだけでは悪用条件を満たしません。Ciscoは次の条件を示しています。

Cisco SIP Softwareを実行している
Cisco Unified CMに登録されている
Web Accessが有効になっている

Web Accessはデフォルトで無効です。

対象としてCiscoが列挙している製品は次のとおりです。

Cisco Desk Phone 9800 Series
Cisco IP Phone 7800 Series
Cisco IP Phone 8800 Series
Cisco Video Phone 8875

Ciscoは、Multiplatform Firmwareを実行するCisco IP Phone 7800 Seriesと8800 Seriesについては、本脆弱性の影響を受けないことを確認しています。

CVE-2026-20281の修正版と緩和策

CiscoはCVE-2026-20281を修正するソフトウェアアップデートを公開しています。

主な修正版は次のとおりです。

製品・系列	Cisco SIP Software Release	最初の修正版
Desk Phone 9800 Series／Video Phone 8875	5	5.0(1)
Desk Phone 9800 Series／Video Phone 8875	4.1(1)SR1以前	修正版へ移行
IP Phone 7800／8800 Series	14.4	14.4(1)SR3
IP Phone 7800／8800 Series	14.4より前	修正版へ移行
IP Phone 8845／8865	14.4	14.4(1)SR4

CiscoのFixed Software表にはWireless IP Phone 8821について11.0(6)SR8も掲載されています。一方、同アドバイザリのVulnerable Products節では8821は影響対象として列挙されていません。8821を運用している場合は、Ciscoの最新アドバイザリまたはCisco TACで影響有無を確認してください。

Ciscoは「回避策はない」としていますが、Web Accessを無効化することで脆弱性を緩和できると説明しています。個別端末ではUnified CMのDevice > PhoneからWeb AccessをDisabledへ変更でき、複数端末ではBulk Administration Tool（BAT）を利用できます。

Web Access無効化は緩和策であり、脆弱性そのものを修正するものではありません。Ciscoは最終的な対策として修正版へのアップグレードを推奨しています。

情報システム部門が確認したいポイント

Cisco Secure Emailを運用している場合は、まずAsyncOSのバージョンだけでなく、メールゲートウェイ間通信でS/MIMEを構成しているかを確認します。16.5.0以前かつ該当構成の場合は、Cisco Bug Searchまたは保守窓口で修正版を確認し、更新計画へ反映します。

Ciscoの電話機を利用している場合は、Unified CMの管理情報から対象モデルとSIP Softwareのバージョンを洗い出し、Web Accessの有効・無効を確認します。Web Accessが有効な端末では、業務影響を確認したうえで無効化を緩和策として検討し、修正版への更新を進めます。

メールセキュリティ基盤と音声・電話基盤は担当部署や保守ベンダーが分かれている場合があります。CVE番号だけを一括配布するのではなく、Secure Email担当にはS/MIME構成とAsyncOS、音声基盤担当にはUnified CM登録状況・Web Access・SIP Softwareバージョンを確認項目として渡すと、影響判定を進めやすくなります。

なお、Cisco Secure Emailでは別件のCVE-2025-20393について実際の悪用が確認されています。本件の3件についてCiscoは悪意ある利用を把握していないため、悪用状況はCVEごとに分けて扱う必要があります。