Cisco Secure Email Gateway がメール本文の SQL でroot実行される（CVSS 9.8・KEV）

Critical（CVSS 9.8）に分類されるCisco Cisco Secure Email Gateway（AsyncOS Software）。物理アプライアンス・仮想アプライアンスの両方が対象で、Cisco は「regardless of device configuration（デバイスの構成によらず）」と明記している。修正版は 15.5 以前の系列が 15.5.5-014、16.0 系列が 16.0.4-302、16.5 系列が 16.5.0-780。Secure Email and Web Manager と Secure Web Appliance は影響を受けないと Cisco が明示しているの脆弱性です。**攻撃者がメールを1通送るだけで、メールゲートウェイの OS 上で root としてコマンドを実行できる。** Cisco アドバイザリ cisco-sa-esa-inj-2bLVGmhX（2026年9月14日 16:00 GMT 初版）によれば、原因は Cisco AsyncOS のメール解析処理（email parsing logic）における検証不足で、細工した SQL 文を含むメールを通過させると任意の SQL 文が実行され、**そこから下位 OS 上での root 権限のコマンド実行に至る**。 **この経路の怖さは「認証も操作も要らない」点にある。** CVSS 3.1 の 9.8（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）は Cisco PSIRT が付けた値で、PR:N（事前権限不要）と UI:N（利用者の操作不要）が両方立っている。メールゲートウェイは**外部から届くメールを受け取ることが仕事**なので、攻撃の入口は運用上ふさげない。管理画面をインターネットから隔離していても、メール受信経路そのものが攻撃面になる。 **CISA は 2026-09-14 に KEV（悪用が確認された脆弱性カタログ）へ収載し、是正期限を 2026-09-17 に設定した。** 収載から期限まで3日という短さは、KEV の中でも切迫した部類である。Cisco 自身も、クラウド版（Cisco Secure Email Cloud）について脅威インテリジェンス調査を行い、**侵害の痕跡が見つかった顧客に直接連絡した**と書いている。すなわち「悪用されうる」ではなく「悪用された機器が実在する」段階である。 **回避策は存在しない。** アドバイザリは "There are no workarounds that address this vulnerability."（この脆弱性に対処する回避策はありません）と明記している。設定変更で凌ぐ選択肢は無く、修正版への更新だけが対処になる。 **侵害されていた場合、痕跡は消されている前提で調べる必要がある。** Cisco は「root 権限を取られるため、悪用の証拠や IoC は攻撃者によって削除・隠蔽されうる」と注意し、**アプライアンスの外側にあるネットワークログ・ファイアウォールログを突き合わせる**ことを強く推奨している。機器の中のログだけを見て「痕跡なし」と結論するのは危険である。

**まず修正版へ上げる。回避策は無い。** Cisco が示した First Fixed Release は次のとおりである。15.5 およびそれ以前の系列は **15.5.5-014**、16.0 系列は **16.0.4-302**、16.5 系列は **16.5.0-780**。Cisco は「16.5.0-780 への移行を強く推奨する」と付記しており、単に自系列の最小修正版で止めるより 16.5.0-780 まで上げるほうが Cisco の意図に沿う。 **更新手順（Web管理画面）**: System Administration → System Upgrade → Upgrade Options → Download and Install → 対象リリースを選択 → Upgrade Preparation で必要な選択を行い Proceed。完了後にアプライアンスが再起動する。**CLI の場合**は `upgrade` を実行し、`DOWNLOADINSTALL` を入力してリリースを選ぶ。 **更新の前に、侵害されていないかを確認する。** Cisco が示した IoC の確認方法は、メールログ内の不審な SQL 文を探すことである。 ``` cisco-esa> grep -i "COPY.*TO PROGRAM" [IronPort Text Mail Logs Log name - Default: mail_logs] ``` **出力に1件でも該当があれば悪用の可能性がある**（Cisco は "The presence of any entry in the output may indicate malicious activity." と表現している）。**クラスタ構成の場合はクラスタ内の全機器のログを見る**こと。Cisco Secure Email Cloud の利用者で CLI アクセスが無い管理者は、この確認を自分では行えない。 **侵害が疑われるときの復旧は、機器の種類で分かれる。** 物理アプライアンスは Cisco TAC に連絡する（調査を早めるため、対象機器でリモートアクセスを有効にしておくよう案内されている）。**仮想アプライアンスは、直すのではなく作り直す**のが Cisco の推奨である。順序は (1) 自組織のインシデント対応方針に従ってフォレンジック情報を保全する（**新しいインスタンスを作ると設定とログが失われるので、必ず先に記録する**）→ (2) 修正版で新しい仮想マシンを配備 → (3) 設定を再構築 → (4) アプライアンス上の認証情報と暗号関連資材をすべて更新 → (5) 異常な挙動の監視を継続する。 **恒久的な備えとして Cisco が挙げているのは、管理面の露出を減らすことである。** インターネットからアプライアンスへのアクセスを遮断する、必要な場合も既知の信頼できるホストに限定する、**メール機能と管理機能を別のネットワークインタフェースに分離する**、ファイアウォールの背後に置いて管理トラフィックを絞る、管理ポータルの HTTP を無効化する、不要なネットワークサービス（HTTP・FTP 等）を止める、SAML や LDAP など強い認証方式を使う、既定の管理者パスワードを変更する、といった内容である。これらは今回の攻撃経路（メール受信）そのものは塞がないが、侵害後の横展開を難しくする。

Cisco Cisco Secure Email Gateway（AsyncOS Software）。物理アプライアンス・仮想アプライアンスの両方が対象で、Cisco は「regardless of device configuration（デバイスの構成によらず）」と明記している。修正版は 15.5 以前の系列が 15.5.5-014、16.0 系列が 16.0.4-302、16.5 系列が 16.5.0-780。Secure Email and Web Manager と Secure Web Appliance は影響を受けないと Cisco が明示している を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-76461）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/17 です。早急な対応が推奨されます。