nexsight cyber intelligence / signal online wire desk · issue 645
NEXSIGHT CYBER WIRE Cybersecurity News & Intelligence
MONITOR / DECODE / DEFEND 脅威を、意思決定につなげる
注目

脆弱性 / VULNERABILITY / CRITICAL

Cisco Secure Email GatewayにCVSS 9.8のSQLインジェクション — 細工したメール1通でroot権限のコマンド実行、Ciscoが能動的な悪用を確認し修正版を公開（CVE-2026-76461）

Ciscoは2026年9月14日、メールセキュリティ製品Cisco Secure Email Gateway（AsyncOS）にSQLインジェクションの脆弱性CVE-2026-76461があり、細工したメールを送るだけで認証なしにroot権限でコマンドを実行されるおそれがあると公表した。深刻度はCVSS 9.8（Critical）。Cisco PSIRTは2026年9月に能動的な悪用を把握したとしており、修正版（16.5.0-780など）を公開した。作業回避策はなく、Ciscoは修正版への更新を強く推奨している。米CISAも同日、この脆弱性を悪用確認済みの脆弱性（KEV）カタログに追加した。

脆弱性 NEXSIGHT CYBER WIRE 編集部 5–7 min read
攻撃手法
ソフトウェア

要点

  • Ciscoは2026年9月14日、メールセキュリティ製品Cisco Secure Email Gateway（AsyncOS）にSQLインジェクションの脆弱性CVE-2026-76461があると公表した。細工したメールを送るだけで、認証されていない遠隔の攻撃者がroot権限でコマンドを実行できる。深刻度はCVSS 9.8（Critical）。
  • Cisco PSIRT（製品セキュリティインシデント対応チーム）は、2026年9月にこの脆弱性の能動的な悪用を把握したとしている。同社は侵害の手掛かりを検知したCisco Secure Email Cloudの利用者へ直接連絡し、クラウドの装置はすでにすべて修正版へ更新したと説明している。
  • 修正版は15.5系が15.5.5-014、16.0系が16.0.4-302、16.5系が16.5.0-780。Ciscoは16.5.0-780への移行を強く推奨しており、作業回避策は提供していない。
  • 米CISAは同日、この脆弱性を悪用が確認された脆弱性（KEV）カタログに追加した。Ciscoは侵害の確認方法としてmail_logsの点検を示し、root権限を奪われると痕跡が隠されるおそれがあるため外部ログとの突き合わせも求めている。

Ciscoが公表した内容

Ciscoは2026年9月14日（GMT 16:00）、セキュリティアドバイザリ「Cisco Secure Email Gateway SQL Injection Vulnerability」（cisco-sa-esa-inj-2bLVGmhX）を公開した。深刻度はCritical、CVSS v3.1の基本値は9.8（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、脆弱性の分類はCWE-89（SQLインジェクション）、CiscoのバグIDはCSCwu56234である。

Ciscoによると、この脆弱性は同社のサポート窓口（TAC）での問い合わせ対応の過程で見つかったもので、外部の研究者による報告ではない。

脆弱性が該当するのは、Cisco Secure Email Gatewayのメール解析処理である。同社は、物理アプライアンスと仮想アプライアンスの両方が、装置の設定内容にかかわらず影響を受けるとしている。一方、Cisco Secure Email and Web ManagerとCisco Secure Web Applianceはこの脆弱性の影響を受けないと確認している。

何が起きるのか — メール解析処理の検証不足

Ciscoの説明によると、問題はメール解析ロジックの検証が不十分なことにある。攻撃者は、悪意のあるSQL文を含む細工したメールを該当装置へ送ることでこれを悪用できる。攻撃が成功すると、攻撃者は任意のSQL文を実行でき、その結果として基盤OS上でroot権限によるコマンド実行に至る。

つまり、メールを1通送るだけで、認証情報を持たない攻撃者が装置のroot権限を奪い得るという点が、この脆弱性の重さである。メールゲートウェイはインターネットに面してメールを受け取る位置にあるため、攻撃に必要な前提条件が少ない。

Ciscoは、この脆弱性に対処する作業回避策は存在しないと明記しており、修正版への更新が唯一の対処になる。

影響を受けるバージョンと修正版

Ciscoが示した修正版は次のとおりである。左が現在のリリース、右が修正を含む最初のリリースになる。

  • 15.5以前 → 15.5.5-014
  • 16.0 → 16.0.4-302
  • 16.5 → 16.5.0-780

Ciscoは16.5.0-780への移行を強く推奨している。更新は、Webベースの管理画面（System Administration > System Upgrade）から、またはCLIのupgradeコマンドで実施できる。更新後は装置が再起動する。

Cisco Secure Email Cloudについては、Ciscoはすべてのクラウド装置をすでに16.5.0-780へ更新済みだと説明している。クラウド利用者は、必要に応じてサポート窓口へ更新を依頼できるとしている。

悪用の状況 — Ciscoが把握した「能動的な悪用」

Ciscoはアドバイザリの「Exploitation and Public Announcements」の項目で、2026年9月にこの脆弱性が能動的に悪用されていることを把握したと述べている。同社が公表した内容からは、それ以前に野外での悪用を把握していたかどうかは分からない。

同社はCisco Secure Email Cloudについて、侵害の可能性を示す手掛かり（インジケーター）が確認された装置の利用者へ直接連絡したうえで、同社が管理する範囲で緩和策を適用し、復旧作業を進めていると説明している。

Ciscoが示した侵害確認の方法は次のとおりである。

  • メールのログ（mail_logs）を確認し、不審なSQL文がないかを調べる。Ciscoは検出例としてgrep -i "COPY.*TO PROGRAM" mail_logsを示しており、該当する記録があれば悪意のある活動を示す可能性があるとしている。装置がクラスタを構成している場合は、各装置のログを確認する。Ciscoはこの例が網羅的ではないとも注記している。
  • Cisco Secure Email Cloudでは、CLIへアクセスできない管理者は独自にこの確認を行えない。Ciscoは該当する利用者へ直接連絡している。
  • 攻撃が成功するとroot権限が奪われるため、悪用の証拠やインジケーターが攻撃者によって削除・隠蔽されるおそれがある。Ciscoは、影響を受けた装置の外部にあるネットワークログやファイアウォールログと突き合わせること、たとえば装置から外部IPアドレスへの不審なアップロードや、悪意のあるIPアドレスからのダウンロードがないかを確認することを強く勧めている。

Ciscoが示す対応（同社の推奨内容）

Ciscoがアドバイザリで示している対応は次のとおりである。対策は同社の公表内容に限定して記載する。

  • 悪用が疑われない場合：影響を受けるリリースを使っている装置は、修正版への更新を強く推奨する。
  • 物理アプライアンスで悪用が疑われる場合：Cisco TACへ連絡して支援を求める。調査を迅速に進めるため、装置のリモートアクセスを有効にしておくよう求めている。
  • 仮想アプライアンスで悪用が疑われる場合：Ciscoは次の手順を示している。（1）インシデント対応方針に従ってフォレンジック情報を保全する（次の手順へ進む前に取得する。新しいインスタンスの展開では設定とログが失われる）、（2）修正版で新しい仮想マシンを展開する、（3）製品の設定を再構築する、（4）装置にインストールされている認証情報と暗号資材を更新する、（5）異常な挙動がないか監視を続ける。復旧が難しい場合は Cisco TAC へ連絡する。
  • Cisco Secure Email Cloudの利用者：Ciscoから連絡を受けた利用者は、可能な範囲で認証情報と暗号資材を更新するなどの復旧作業を行い、装置へのアクセスを制限し、堅牢なアクセス制御を導入することが強く推奨されている。
  • 一般的な強化策：Ciscoは、AsyncOSを最新版へ更新すること、インターネットから装置へのアクセスを防ぐこと（必要な場合は既知の信頼できるホストとポート・プロトコルに限定する）、メール機能と管理機能を別々のネットワークインターフェースに分離すること、ファイアウォールなどのフィルタリング装置の内側に置くこと、ログを外部サーバーへ送って十分な期間保存すること、管理ポータルのHTTPを無効にすること、不要なサービスを無効にすること、SAMLやLDAPなど強度の高い認証を使うこと、既定の管理者パスワードを変更すること、SSL/TLS証明書を導入することを挙げている。

CISAがKEVカタログに追加

米CISAは2026年9月14日、CVE-2026-76461をKEV（悪用が確認された脆弱性）カタログに追加した。CISAは、野外での悪用を示す証拠に基づく追加だとしている。

CISAは、連邦政府機関の民用執行部門（FCEB）向けの拘束力のある運用指令BOD 26-04に基づき、KEVに掲載された脆弱性のうち公開資産で悪用後に完全な制御につながるものを優先して是正するよう求めている。あわせてCISAは、FCEB以外のすべての組織にもリスクベースの脆弱性管理と、KEV掲載脆弱性の優先的な修復を勧めている。

日本の利用者への影響

Cisco Secure Email Gatewayは、迷惑メールやマルウェアを検査してメールを配送するゲートウェイ製品で、物理アプライアンスまたは仮想アプライアンスとして自組織で運用する形態と、Cisco Secure Email Cloudとして利用する形態がある。今回の脆弱性は設定内容にかかわらず物理・仮想の両方が影響を受けるため、オンプレミスで運用している組織は、自組織のAsyncOSのバージョンが15.5以前・16.0系・16.5系のいずれに該当するかを確認し、Ciscoが示す修正版（16.5.0-780など）への更新を検討する必要がある。悪用が確認されている脆弱性であり、作業回避策が提供されていない点も踏まえた判断が求められる。

メールゲートウェイは、外部から届くメールを継続的に処理する装置である。Cisco自身が「root権限を奪われると痕跡が隠されるおそれがある」としていることから、更新とあわせて、mail_logsの確認や外部のネットワーク・ファイアウォールログとの突き合わせをCiscoは推奨している。

出典

この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。