Cisco Secure Email Gateway の添付処理で root のファイル書き込み（KEV・CVSS 9.8）

Critical（CVSS 9.8）に分類されるCisco Cisco Secure Email Gateway（AsyncOS・物理／仮想）の脆弱性です。**Cisco Secure Email Gateway の Advanced Malware Protection（AMP）に、細工した添付ファイル付きのメールを送るだけで任意のファイルを書き込まれる欠陥がある。** Cisco のアドバイザリ（cisco-sa-esa-afw-zqYJkjxp、2026年10月14日公開）によれば、File Reputation サービスが有効なときの添付ファイルの扱いに不備があり、認証されていない遠隔の攻撃者が、基盤 OS 上でファイルを書き込み、**root 権限でコマンドを実行**できる。CVSS 3.1 は **9.8 Critical**。 **悪用は確認済み。** Cisco PSIRT は2026年10月に実際の悪用を把握したとしている。CISA は2026年10月14日に KEV へ収載し、是正期限を **2026年10月17日**（収載から3日）とした。ランサムウェアでの利用は「不明」。 **影響を受ける条件は3つ。** （1）脆弱な AsyncOS の物理または仮想アプライアンスであること、（2）File Reputation が有効でメールポリシーに割り当てられていること、（3）Content Scanner Tools が 25.3.0.5525 より前であること。Secure Email and Web Manager と Secure Web Appliance は対象外。Cisco が示す回避策は無い。

**Content Scanner Tools を 25.3.0.5525 以上にする。** Cisco によれば、この版以降に修正が入っており、サポート中でライセンスのある全ての AsyncOS に配布される。CLI で `contentscannerstatus` を打てば現在の版が分かり、`contentscannerupdate` で手動更新できる（再起動もソフトウェアの更新も要らない）。自動更新は Security Services > Service Updates で有効にできる。 **AsyncOS 自体の修正版**は、15.5 系が 15.5.5-014、16.5 系が 16.5.0-780。16.0 系と 16.5 より前の版は 16.5.0-780 への移行が案内されている。 **更新の前に侵害を確かめる。** クラスタの各メンバーで `grep "System Security" system_logs` を打ち、「Suspected compromise indicator was found」または「Security scan did not complete」が出たら TAC に連絡する。成功すると root を取られるので、装置のログだけでなく外側のネットワーク・ファイアウォールのログも突き合わせる。 **完了条件**は、（1）全ての Secure Email Gateway で Content Scanner Tools が 25.3.0.5525 以上であること、（2）System Security のログで侵害の兆候が無いことを確認したこと、の2点である。

Cisco Cisco Secure Email Gateway（AsyncOS・物理／仮想） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-76519）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/10/17 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。