CVE-2026-76461: クリティカルな Cisco Secure Email Gateway のゼロデイでルート RCE を可能に

Ciscoは、Secure Email Gatewayアプライアンスにおける重大なゼロデイ脆弱性であるCVE-2026-76461を修正しました。この脆弱性は、すでに野外で悪用されています。この欠陥はCVSSスコア9.8を持ち、認証されていないリモート攻撃者が、脆弱なデバイスを通じて特別に作成されたメールを送信するだけで、基盤となるオペレーティングシステム上でルート権限で任意のコマンドを実行できるようにします。

脆弱性はCisco AsyncOSソフトウェアの電子メール解析ロジックにあります。不十分な検証により、悪意のあるメールがゲートウェイによって処理されるSQL文を含むことができ、最終的に任意のSQL実行と、ルート権限でのオペレーティングシステムコマンド実行につながります。認証やユーザーの操作が必要ないため、インターネットに面した脆弱なメールセキュリティインフラストラクチャは特に魅力的な標的となります。

この公開情報により、急速に成長しているゼロデイ状況に新たな活発に悪用されている脆弱性が追加されました。Cisco PSIRTは2026年9月にこの欠陥を悪用した攻撃を認知し、CISAはそれを既知の悪用された脆弱性のカタログに追加し、2026年9月17日までに米国連邦市民機関が影響を受けたシステムを修正するよう求めました。

CVE-2026-76461の検出コンテンツを探しているセキュリティチームは、SOC PrimeのAIネイティブ検出インテリジェンスプラットフォームを活用して、悪用パターンと関連する侵害後のアクティビティを特定できます。Explore Detectionsをクリックして、MITRE ATT＆CK®にマッピングされ、複数のSIEM、EDR、およびデータレーク技術に対応する関連検出ルールおよびハンティングクエリにアクセスしてください。

組織はまた、Uncoder AIを使用して、脆弱性インテリジェンスとインジケータをハンティングクエリに変換し、脅威レポートから検出ロジックを生成し、セキュリティプラットフォーム間でルールを翻訳し、新たなゼロデイの悪用の調査を加速させることができます。

CVE-2026-76461の分析

Ciscoはこの脆弱性をCWE-89、SQLコマンドに使用される特殊な要素の不適切な中和、通称SQLインジェクションとして分類しています。この欠陥は、AsyncOSがメールメッセージの解析中に特定の情報を十分に検証していないために存在します。攻撃者は影響を受けるゲートウェイを介して悪意のあるSQL文を含むメッセージを送信することでリモートからこれを悪用することができます。

成功した悪用により、攻撃者は任意のSQL文を実行でき、それが直接オペレーティングシステム上でルート権限でのコマンド実行につながる可能性があります。CiscoのCVSSベクター、CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hはその深刻さを強調しています：攻撃はリモートからアクセス可能で、複雑さは低く、特権を必要とせず、被害者による操作も必要としません。

CVE-2026-76461は、構成に関係なく、フィジカルおよび仮想のCisco Secure Email Gatewayアプライアンスの両方に影響を及ぼします。Ciscoは、Secure Email and Web ManagerおよびSecure Web Applianceがこの特定の問題には脆弱でないことを確認しました。

潜在的な影響は、メール処理アプリケーション自体へのアクセスを大幅に超えています。ルートレベルのコマンド実行により、攻撃者は基盤となるアプライアンスの制御を得ることができ、設定情報、認証情報、メール関連データ、ネットワーク接続性、および侵害されたゲートウェイから利用可能な他の機密リソースへのアクセスを可能にする可能性があります。このレベルの権限を持つ攻撃者は、追加ツールの展開、永続性の確立、またはアプライアンスをネットワーク内でさらに活動のための入り口として使用することもできます。

Ciscoは攻撃を特定の脅威アクターに公に帰することなく、または悪用の規模を開示しませんでした。しかし、Ciscoは悪意のある活動を示したCisco Secure Email Cloudカスタマーのデバイスに直接連絡しました。Ciscoは、テクニカルサポートセンターのサポートケースを解決している間にこの脆弱性を発見し、PSIRTは2026年9月にアクティブな悪用を確認しました。

CVE-2026-76461の詳細を求めるディフェンダーにとって、最も重要な合併症の1つは、成功した攻撃者がルート権限を得ることです。Ciscoは、これにより脅威アクターが証拠を削除または隠すことができると警告しています。明白なローカルアーティファクトの欠如が悪用が発生しなかった証明として解釈されるべきではないことを意味します。

Ciscoは、疑わしいSQL活動のためのmail_logsの確認を推奨しています。ベンダーによって提供された例の1つは、COPY.*TO PROGRAMに一致するステートメントを検索することで、結果として得られるエントリが悪意のある活動を示す可能性があります。クラスター化された展開を管理している管理者は、クラスター内のすべてのデバイスからのログを確認する必要があります。

したがって、公開されたCVE-2026-76461のIOCは外部のテレメトリによって補足されるべきです。Ciscoは特に、アプライアンスから外部IPアドレスへの予期しないアップロードや悪意のあるインフラストラクチャからのダウンロードを含む、疑わしい動作のために、潜在的に侵害されたゲートウェイの外部に保存されたネットワークおよびファイアウォールログを確認することを推奨しています。

2026年9月15日現在、引用された公開報告およびCiscoアドバイザリは、悪用コードや再現可能なCVE-2026-76461 PoCを提供していません。しかし、野外での確認された悪用は、防御者が脆弱性を直ちに運用リスクとして扱うべきであり、公開された悪用ツールの出現を待たないことを意味します。

CVE-2026-76461の緩和策

Ciscoは修正済みのAsyncOSバージョンをリリースし、脆弱性を完全に解決する回避策はないと述べています。影響を受けるアプライアンスを実行している組織は、設定変更やパッチの代替としてネットワーク制御に依存するのではなく、直ちにアップグレードすべきです。

最初の修正リリースは次の通りです：

• AsyncOS 15.5以前： 15.5.5-014
• AsyncOS 16.0： 16.0.4-302
• AsyncOS 16.5： 16.5.0-780

Ciscoは、サポートされている場合はリリース16.5.0-780への移行を強く推奨しています。Cisco Secure Email Cloudデバイスは既にベンダーによってそのバージョンにアップグレードされています。

パッチのインストールに加えて、Ciscoは可能な限りアプライアンスへの直接のインターネットアクセスを防ぎ、必要な接続を既知の信頼できるホストに制限することを推奨しています。組織は、異なるインターフェースにメールと管理機能を分離し、アプライアンスをフィルタリングデバイスまたはファイアウォールの背後に配置し、不必要なHTTPおよびFTPサービスを無効にし、ゲートウェイを制御している攻撃者が容易に変更できない外部システムにログを送信するべきです。

悪用が疑われる場合のオンプレミスの仮想アプライアンスでは、変更を行う前にフォレンジック証拠を保護し、修正版のソフトウェアを実行する新しい仮想マシンを展開し、構成を再構築し、影響を受けたアプライアンスに保存された認証情報および暗号化材料を更新することをCiscoは推奨しています。物理アプライアンスの所有者は、侵害が疑われる場合はCisco TACに連絡するべきです。

CVE-2026-76461の悪用を検出するには、ディフェンダーはCisco Secure Email Gatewayログを独立したファイアウォール、プロキシ、DNS、およびネットワークテレメトリと組み合わせるべきです。メール処理ログの悪意のあるSQLパターン、ゲートウェイからの予期しないアウトバウンド通信、異常なダウンロード、および通常のメールセキュリティ操作と矛盾する侵害後の行動に特に注意するべきです。

悪用は既に実際の環境で発生しているため、修正のみでは措置が講じられる前に露出したデバイスには十分でない可能性があります。組織は潜在的な過去の侵害を調査し、影響を受けたシステムからアクセス可能な認証情報や暗号化材料を更新し、攻撃者が他の場所で永続性を確立していないことを確認すべきです。

さらに、SOC PrimeのAIネイティブ検出インテリジェンスプラットフォームは、検出ルール、ハンティングクエリ、およびクロスプラットフォーム検出ロジックに脅威インテリジェンスを運用化することで、組織が新たな脆弱性の悪用に対する防御を強化する手助けをすることができます。

免責事項：検出コンテンツはすべてのCVEに対して提供されるわけではありません。現行のカバレージについてはSOC Primeプラットフォームを確認してください。関連する検出が今見つからない場合は、後で再度確認してください。