CVE-2026-76519: クリティカルなCiscoセキュアメールゲートウェイのゼロデイ脆弱性、Rootアクセスに悪用される

Ciscoは、実世界の攻撃で既に悪用されているCisco Secure Email Gateway (SEG)に影響を与える重大なゼロデイ脆弱性であるCVE-2026-76519に対処しました。この欠陥にはCVSSスコア9.8が付けられており、認証されていないリモートの攻撃者が任意のファイルを書き込み、脆弱なアプライアンス上でルート権限でコマンドを実行することを可能にします。

この脆弱性は、Cisco Secure Email GatewayのAdvanced Malware Protection (AMP)機能に存在し、ファイル評判サービスが有効な場合の電子メール添付ファイルの不適切な処理から生じています。攻撃者は、影響を受けるゲートウェイを通じて特別に作られた添付ファイルを含むメールを送信するだけで、資格情報やユーザーの介入を必要とせずに問題を悪用することができます。

Ciscoはこの脆弱性を、2026年10月14日に、PSIRT（製品セキュリティインシデント対応チーム）が10月に活動中の悪用を認識した後に公開しました。同社は攻撃の背後にいる人物、侵害されたアプライアンスの数、アクセス取得後に攻撃者が何を行ったかを明らかにしていません。

この脆弱性は特に懸念すべきです。というのも、Secure Email Gatewayアプライアンスは企業のメールインフラストラクチャに直接配置されているからです。ルート権限での成功した侵害は、攻撃者にセキュリティアプライアンスのさらに広範な制御、資格情報と暗号化資料へのアクセス、および追加のシステムに向けた道を提供する可能性があります。

CISAはこの欠陥を、既知の悪用された脆弱性カタログに追加し、対象となる米国連邦市民機関に2026年10月17日までに修正することを義務付けています。

組織は、SOC PrimeのAIネイティブ検出インテリジェンスプラットフォームを活用して、新たな脆弱性に対する防御を強化し、SIEM、EDR、XDR、データレイク環境全体での脅威ハンティング、調査、検出エンジニアリングを加速できます。

セキュリティ専門家は、Prime Architectを使用して新たな脅威インテリジェンスを検出ロジックに変換し、インジケータをハンティングクエリに変換し、既存のルールを洗練し、自身の組織のテレメトリに適用することができます。

営業への連絡

CVE-2026-76519の分析

CVE-2026-76519は、2つの特定の条件が存在する場合、脆弱なCisco AsyncOSリリースを実行している物理および仮想のCisco Secure Email Gatewayアプライアンスに影響を与えます。それはファイル評判サービスが有効でメールポリシーに割り当てられていること、インストールされているContent Scanner Toolsのバージョンが25.3.0.5525より前であることです。

Ciscoはこの脆弱性をCWE-23、相対パストラバースとして分類しています。Advanced Malware Protection機能における電子メール添付ファイルの不適切な処理により、特別に作成された添付ファイルがファイルパスを操作し、アプライアンスの基礎となるオペレーティングシステムに任意のファイルを書き込むことを可能にします。

攻撃には認証が必要ありません。脅威アクターは、脆弱なゲートウェイを通じて悪意のある添付ファイルを含むメールを送信するだけでよいのです。ゲートウェイ自体がコンテンツを処理するために、メッセージを開いたり、添付ファイルと対話したりする必要はありません。

成功した悪用は、任意のファイルの作成を超えて進行する可能性があります。Ciscoは、攻撃者がルート権限でオペレーティングシステム上でコマンドを実行するためにこの弱点を利用できると確認しており、結果として侵害されたアプライアンスを完全に制御することができます。

この脆弱性はCVSS 3.1でスコア9.8を受け、ベクターはAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hです。リモートでのアクセス可能性、低攻撃複雑性、必要な権限なし、ユーザーとの相互作用なしという組み合わせが、その重大な評価を説明しています。

Cisco Secure Email and Web ManagerおよびCisco Secure Web Applianceはこの脆弱性の影響を受けません。Cisco Secure Email Cloud環境は、Ciscoの管理アップグレードプロセスを通じて既に修正後のContent Scanner Toolsパッケージを受け取っています。

同社は内部のセキュリティスキャン中にこの欠陥を発見しました。専用アドバイザリが10月14日にリリースされましたが、Ciscoは既に9月14日にセキュリティ強化リリースの一環として修正済みAsyncOSリリース15.5.5-014および16.5.0-780を出荷していました。この具体的な欠陥は、実世界での悪用が確認された後、独自のCVEとアドバイザリを受け取っています。

これは最近公開された最初の積極的に悪用されたSecure Email Gateway脆弱性ではありません。2026年9月に、CiscoはCVE-2026-76461を修正しました。これは、悪意のある電子メール処理を通じて引き起こされ、認証なしにルート権限でコマンドを実行できる別の欠陥です。Ciscoは2つの悪用キャンペーンを関連付けていません。

執筆時点で、Ciscoおよび参照されたレポートは、公開ベースで検証されたCVE-2026-76519のPoCを文書化していません。しかし、アクティブな悪用は、防御者が公開されたエクスプロイトコードの利用可否にかかわらず、脆弱なアプライアンスを即時の危険とみなすべきことを意味します。

CVE-2026-76519の検出のため、Ciscoは管理者がアプライアンスのsystem_logsを対して実行できる内蔵のセキュリティチェックを提供します。組織はまた、ルート権限を持つ攻撃者が証拠を直接削除または隠蔽する可能性があるため、外部ネットワークおよびファイアウォールのテレメトリを調査する必要があります。

CVE-2026-76519の緩和

Ciscoは修正をリリースし、脆弱性を完全に対処する回避策はないと述べています。影響を受けるSecure Email Gateway展開を運用する組織は、更新されたContent Scanner Toolsパッケージを適用するか、修正されたAsyncOSリリースに移行する必要があります。

最初の修正済みリリースには、以下も含まれます。

• AsyncOS 15.5: 15.5.5-014
• AsyncOS 16.0: 修正されたリリースへの移行
• AsyncOS 16.5: 16.5.0-780
• Content Scanner Tools: 25.3.0.5525またはそれ以降

Ciscoは、16.5より前のAsyncOSリリースを実行している組織に対し、バージョン16.5.0-780に移行することを推奨しています。重要なことに、Content Scanner Toolsのアップデートは、AsyncOSのアップグレードやアプライアンスの再起動を必要とせずに、サポート対象のインストールを修復することが可能です。

管理者は、CLIからcontentscannerstatusを実行して、現在インストールされているスキャナーパッケージを確認できます。Content Scanner Toolsが25.3.0.5525より前のシステムは、ファイル評判がアクティブな限りさらされ続けることになります。

自動Content Scanner Toolsアップデートを有効にしている顧客は、バージョン25.3.0.5525以上が実際にインストールされていることを確認する必要があります。自動更新が無効になっている場合、管理者はcontentscannerupdateコマンドを使用して更新を手動でトリガーできます。

CVE-2026-76519の悪用の検出を試みるために、Ciscoはsystem_logsを調査し、System Securityの妥協スキャンを確認することを推奨しています。管理者は、grep “System Security” system_logsを使用してこのチェックをクラスタに属する各Secure Email Gatewayアプライアンスで個別に実行する必要があります。

System Security: Suspected compromise indicator was found（不審な妥協インジケータが発見された）というログエントリは、妥協されたアーティファクトが検出されたことを示し、組織はCiscoのインシデント対応ガイダンスに従い、Cisco TACに連絡する必要があります。セキュリティスキャンが完了しなかったと述べるメッセージもTACへのエスカレーションが必要です。

これらのCiscoが提供するメッセージは、ベンダーから利用可能な主要なCVE-2026-76519 IOCを表します。しかし、クリーンなローカルスキャンでは、成功した攻撃者がルート権限で操作し、証拠を削除または隠す可能性があるため、妥協を完全には否定できません。

Ciscoはしたがって、ゲートウェイによって開始された予期しないアップロード、外部インフラストラクチャからの異常なダウンロード、および潜在的に悪意のあるIPアドレスを含む異常な接続を含む疑わしい活動のために、アプライアンスの外部に保存されたファイアウォールとネットワークテレメトリのレビューを推奨しています。

インシデント対応はアプライアンスの種類に応じて異なります。潜在的に妥協された物理アプライアンスについては、CiscoはTACへの連絡を推奨しています。仮想アプライアンスについては、変更を行う前に法医学的証拠を保存するべきです。既に妥協されたシステムのアップグレードは、関連するログやアーティファクトを破壊する可能性があるためです。

Ciscoは、単にアップグレードするのではなく、修正されたソフトウェアリリースを用いて妥協された仮想アプライアンスを再構築することを推奨しています。管理者は、以前の構成ファイルをインポートせずに構成を再構築し、アプライアンスに保存された資格情報と暗号化素材を更新する必要があります。

クラスター化されたSecure Email Gateway展開を使用する組織には特別な注意が必要です。クラスターのメンバーは、SSHキー・ペアを使用して認証し、ルートレベルの妥協により、この通信に使用されるプライベートキーが公開されてしまう可能性があります。これらのキーが取得された場合、攻撃者は潜在的に追加のクラスター メンバーへのアクセスを拡大する可能性があります。

SOC PrimeのAIネイティブ検出インテリジェンスプラットフォームは、アクティブに悪用されている脆弱性に関する情報を実用化し、メール、ネットワーク、エンドポイント、およびインフラストラクチャのテレメトリ全体での行動脅威ハンティングを加速するのに役立ちます。