Ciscoのメールゲートウェイに深刻な脆弱性、悪用確認で米CISAが緊急パッチを指示

要点

• Ciscoのメールセキュリティ製品「Cisco Secure Email Gateway」のOSに、認証なしで最高権限（root権限）を奪取できる重大な脆弱性（CVE-2026-76461）が見つかった。

• 深刻度を示すCVSSスコアは最高値に近い「9.8」で、すでに実際の攻撃で悪用されていることが確認されている。

• 細工されたメールを送信するだけで遠隔から攻撃可能であり、回避策はないため修正版へのアップデートが必須となる。

• 攻撃者が侵入痕跡を消去する恐れがあるため、Ciscoは内部ログの調査や外部ファイアウォールログとの照合を推奨している。

• 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は危険な脆弱性リストに追加し、米連邦機関に迅速なパッチ適用を命じた。

• 米Ciscoのメールセキュリティ製品「Cisco Secure Email Gateway」において、極めて危険度の高い脆弱性が発見され、すでに実際のサイバー攻撃で悪用されていることが明らかになった。認証を受けていない第三者が細工したメールを送信することで、システムの最高権限を掌握できる状態だという。Ciscoが修正ソフトウェアを公開して注意を呼びかける中、米サイバーセキュリティ・インフラセキュリティ庁（CISA）も米政府機関に対し、パッチの緊急適用を義務付けた。

認証なしでroot権限を掌握される脆弱性「CVE-2026-76461」

今回確認された脆弱性は「CVE-2026-76461」として管理されており、脆弱性の深刻度を0から10の数値で評価する指標であるCVSSスコアは「9.8」と極めて高い値がつけられている。

Ciscoが公開したセキュリティアドバイザリによると、本脆弱性は同製品で稼働する基本ソフト「AsyncOS」のメール解析処理における入力値の検証不備に起因している。攻撃者は、悪意のあるSQL文（データベース操作用の命令文）を含む細工された電子メールを対象デバイス経由で送信するだけで、リモートから認証を経ずに脆弱性を突くことができる。

攻撃が成功すると任意のSQL文が実行され、最終的にはOSの最高権限であるroot権限（システム内のあらゆる操作が可能な管理者権限）で任意のコマンドを実行される恐れがあるという。

影響を受ける対象製品と提供されている修正バージョン

この脆弱性は、物理アプライアンスと仮想アプライアンスの双方において、機器の設定内容に関わらず「Cisco Secure Email Gateway」全般に影響する。一方で、関連製品である「Secure Email and Web Manager」や「Secure Web Appliance」には影響しないとしている。

Ciscoは脆弱性を修正したAsyncOSの最新ソフトウェアをリリースしており、対象バージョンと修正版は以下の通りだ。

• AsyncOS 15.5以前: バージョン「15.5.5-0141」で修正
• AsyncOS 16.0: バージョン「16.0.4-302」で修正
• AsyncOS 16.5: バージョン「16.5.0-780」で修正

本件に対する暫定的な回避策は存在せず、サポートされている修正済みバージョンへのアップデートのみが有効な対処法とされている。

侵害痕跡の調査方法と隠蔽工作への警戒

Ciscoは2026年9月に入ってから本脆弱性の活発な悪用を検知したと説明している。クラウド版「Cisco Secure Email Cloud」で不審な活動が確認された顧客に対してはすでに直接連絡を行っているが、攻撃の全体的な規模については明かしていない。

同社は、攻撃が成立した場合はroot権限が奪取されるため、攻撃者によって侵入の証拠や侵害指標（侵入の痕跡や手がかりとなる情報、IoC）が消去または隠蔽される危険性があると警告している。そのため、単に機器内のログを見るだけでなく、外部ネットワークのログと突き合わせた多層的な調査が推奨されている。

管理者が内部調査を行う手順として、メールログ（mail_logs）内に不審なSQL文がないかを確認することが求められる。クラスタ構成（複数機器を連携させて運用する構成）の場合は、構成する全機器のログを確認する必要がある。不審なSQL文の検知には、CLI上で以下のコマンドを実行する方法が案内されている。

cisco-esa> grep -i "COPY.*TO PROGRAM" [mail_logs]

この実行結果に何らかの出力が含まれていた場合、悪意ある活動が行われた可能性があるという。

さらに、ログ改ざんの可能性に備え、影響を受けた機器外部のネットワークログやファイアウォールログを照合し、外部IPアドレスへの予期せぬデータ送信や悪意あるIPアドレスからのダウンロードが発生していないかを精査することが強く推奨されている。

米CISAがカタログ登録、連邦機関に迅速な対処を指示

この事態を受け、米サイバーセキュリティ・インフラセキュリティ庁（CISA）は現地時間9月14日、本脆弱性を「悪用が確認された脆弱性（KEV）カタログ」に追加した。

KEVカタログへの登録により、米国の連邦文民行政府（FCEB）機関に対しては、2026年9月17日までにパッチを適用することが義務付けられた。攻撃の悪用が進行していることから、猶予期間の極めて短い厳格な対応が求められている。

関連動向：Fortinet製VPNを標的とした大規模な認証攻撃も

今回のCiscoの脆弱性公開に先立ち、Fortinet製のVPN機器を標的とした大規模なサイバー攻撃も明らかになっている。

セキュリティ企業Arctic Wolfの報告によると、2026年8月26日から28日にかけて、外部公開されたFortinet製VPN機器に対して2波にわたる大規模な認証攻撃（クレデンシャルアタック）が発生した。米国内の複数顧客の環境で数千万件規模の認証失敗が記録されたという。

同社のセキュリティ研究者Kyle Siddall氏によれば、攻撃者は不特定のユーザー名を無作為に試すのではなく、標的組織の従業員名、社内メールアドレス、関連組織のアカウント、管理者アカウントなどを狙い撃ちして使用していた。これは事前に収集・列挙された認証情報が悪用されたことを示している。実際に、特定のIPアドレス（158.94.211[.]14）からの認証成功後に悪意ある活動へ発展した事例も確認されている。