Cisco Secure Email GatewayのCVE-2026-76519がKEV入り、添付ファイル経由でroot権限に至る脆弱性の影響条件と修正版

2026年10月14日16時(GMT、日本時間では15日1時)、Ciscoはメールセキュリティ製品Cisco Secure Email Gateway(旧称Email Security Appliance、ESA)の脆弱性CVE-2026-76519を公表しました。同じ日、CISAはこの脆弱性をKnown Exploited Vulnerabilities Catalog(KEVカタログ)に追加しています。Cisco PSIRTは、2026年10月にこの脆弱性の悪用を確認したとしています。

欠陥はAdvanced Malware Protection(AMP)機能の中にあり、ファイルレピュテーションが有効な機器で添付ファイルの処理を誤ります。攻撃者は細工した添付ファイル付きのメールを機器に通すだけで、認証を経ずに任意のファイルを書き込み、root権限でコマンドを実行できるおそれがあります。メールゲートウェイは外部からのメールを受け取るのが仕事なので、インターネットから届くメールそのものが攻撃の入口になります。この記事は、Ciscoのアドバイザリ、CVEレコード、CISAのKEVで確認できた範囲で、影響を受ける条件と管理者の対応を整理します。記述は執筆時点(2026年10月15日)の情報に基づき、攻撃の再現手順は扱いません。

アドバイザリとKEVに記録された内容#

Ciscoのアドバイザリ(cisco-sa-esa-afw-zqYJkjxp)と、CISAが配布するKEVカタログのJSONフィード(執筆時点で確認したカタログバージョン2026.10.14)の値です。

CISAは2026年10月14日、この脆弱性を含む4件をKEVに追加しました。同時に追加されたのは、Palo Alto NetworksのPAN-OS(CVE-2026-0322)と、AhsayのバックアップサーバーAhsayCBSの2件(CVE-2026-105133、CVE-2026-105134)です。KEVのrequiredActionは、ベンダーの指示に沿った対処に加えて、BOD 26-04の指針とCISAの「Forensics Triage Requirements」に従うよう求めています。

KEVの期限は米国の連邦機関に向けたものですが、悪用が確認された脆弱性の一覧として民間の優先順位付けにも使えます。forensicTriageがYesとされているため、CISAは修正の適用だけでなく侵害の有無の確認も求めています。

あわせて読みたい

脆弱性対応の優先順位付け。CVSSだけに頼らないEPSSとCISA KEVの使い方

添付ファイルを受け取るだけで攻撃が成立する理由#

Ciscoの説明によると、欠陥はファイルレピュテーションサービスが有効なときの添付ファイルの扱いにあります。ファイルレピュテーションは、AMPの一部として添付ファイルの評判を照会し、既知の悪性ファイルを止める機能です。メールゲートウェイは添付ファイルを受け取ると、利用者に届ける前に自分で中身を検査します。その検査の処理でファイルの書き込み先を正しく制限できず、攻撃者が決めた場所にファイルを書き込まれる、というのがCWE-23(相対パストラバーサル)の意味です。

この欠陥では、利用者が添付ファイルを開く必要がありません。検査する機器自身が処理の途中で攻撃を受けるため、利用者への訓練や添付ファイルを開かない運用では防げません。CVSSでも利用者の操作(UI)は不要(N)と評価されています。メールを受け付けるポートはインターネットに開いているのが普通で、管理画面を外部に公開していない機器も対象になります。攻撃の段階は、MITRE ATT&CKでは公開アプリケーションの悪用(T1190)にあたります。

あわせて読みたい

パストラバーサルとは何か。基準ディレクトリの外へ解決されるパスの脆弱性と根本対策を解説

影響を受ける条件と確認の手順#

アドバイザリは、物理と仮想のどちらのSecure Email Gatewayでも、脆弱な版のCisco AsyncOSで動いていて、次の2つの条件をともに満たす場合に影響を受けるとしています。

受信用のポリシーだけでなく、送信用のポリシーでファイルレピュテーションを有効にしている場合も条件にあたります。ポリシーが複数ある機器では、すべてのポリシーを確認してください。

Ciscoは、Secure Email and Web Manager(旧SMA)とSecure Web Appliance(旧WSA)は影響を受けないとしています。CiscoがホストするSecure Email Cloud Gatewayは、Ciscoが修正済みのContent Scanner Toolsを配布済みで、修正を適用するための利用者側の作業は不要とされています。ただし侵害からの復旧は別の話です。Ciscoは、侵害の兆候が見つかったクラウド版の機器の顧客に直接連絡したとしており、連絡を受けた顧客には、機器に登録した資格情報と暗号の材料を更新し、機器へのアクセスを制限するよう推奨しています。

あわせて読みたい

境界に置くエッジ機器の脆弱性が侵入口として狙われる理由

修正版とContent Scanner Toolsの更新#

修正の手段は2つあります。1つはContent Scanner Toolsの更新で、Ciscoは修正をサポート中のすべてのAsyncOSの版に向けて、Content Scanner Toolsの25.3.0.5525以降として配布しています。もう1つはAsyncOSそのものの更新です。

Ciscoは、16.5より前の版を使っている場合は16.5.0-780へ移行するよう強く推奨しています。16.0系にはこの脆弱性に対するAsyncOSの修正版が示されていないため、16.0系を使い続ける間はContent Scanner Toolsの版で修正を確かめることになります。

Content Scanner Toolsの更新は、AsyncOSの更新も再起動も伴いません。自動更新を有効にしている機器は、更新が適用されれば追加の作業は不要です。自動更新を止めている機器は、CLIのcontentscannerupdateで手動で更新するか、管理画面のSecurity Services > Service Updatesで自動更新を有効にします。影響の条件はContent Scanner Toolsの版で定義されているため、AsyncOSを更新した機器も含めて、最後にcontentscannerstatusで25.3.0.5525以降になったことを記録しておくと確実です。

9月のCVE-2026-76461との関係#

Secure Email Gatewayでは、1か月前の2026年9月14日にも、細工したメールでroot権限のコマンド実行に至るSQLインジェクションCVE-2026-76461が公表され、同日KEVに追加されていました。こちらも2026年9月に悪用が確認されており、JPCERT/CCは9月15日に注意喚起(JPCERT-AT-2026-0027)を出しています。JPCERT/CCは同じ注意喚起の中で、この製品の別の脆弱性(CVE-2025-20393)を悪用した侵害事案が国内で起きていたことも伝えています。

両者のAsyncOSの修正版には共通する版がありますが、16.0系は扱いが異なります。9月に16.0.4-302へ更新した機器は、今回の脆弱性についてはContent Scanner Toolsの版を別に確認する必要があります。Ciscoは9月に公表したハードニングリリースのアドバイザリ(cisco-sa-hardening-esa-dfCrfXkm)を10月14日に改訂し、社内レビューで見つかった脆弱性のうち2件が悪用されていると記載しています。この2件が、CVE-2026-76461とCVE-2026-76519です。

執筆時点で、JPCERT/CCからCVE-2026-76519についての注意喚起は確認できませんでした。

侵害の痕跡を確かめる方法#

Ciscoは、悪用の試みを確かめる方法として、CLIでsystem_logsから「System Security」を含む行を探すよう案内しています。クラスタを組んでいる場合は、クラスタ内のすべての機器でログを確認します。

ここで「兆候なし」と出ても、侵害を否定しきれるわけではありません。Ciscoは、悪用に成功した攻撃者はroot権限を持つため、悪用の証拠や侵害の痕跡を消したり隠したりできると注意しています。そのうえで、機器の外側にあるネットワークのログとファイアウォールのログを突き合わせ、機器から外部のIPアドレスへの想定外のアップロードや、悪性のIPアドレスからのダウンロードがないかを調べるよう推奨しています。通信先を絞り込めるかどうかはメールの配送経路やネットワークの構成によるため、自組織の機器の普段の通信先と通信量を基準にして、メールの配送や更新の取得では説明できない通信を洗い出します。

あわせて読みたい

IDSとIPSの違いとは、検知だけか遮断までかで分かれる役割と設置位置、検知方式

侵害が疑われる場合の復旧#

Ciscoのアドバイザリは、機器の形態ごとに復旧の進め方を示しています。

仮想アプライアンスで復旧が難しい場合も、CiscoはTACへの問い合わせを推奨しています。日本国内でインシデントの相談先が必要な場合は、JPCERT/CCのインシデント対応依頼の窓口を使えます。

あわせて読みたい

インシデント発生時の初動対応。最初の1時間で何をするか

修正後に見直したい機器の守り方#

アドバイザリは、この脆弱性に限らない一般的なハードニングの推奨も載せています。今回の欠陥はメールの受信そのものが入口なので管理画面を閉じても防げませんが、侵入後の被害の広がりを抑えるうえで役立つ項目です。

• AsyncOSを最新の版に保つ
• 機器へのインターネットからのアクセスを防ぎ、必要な場合も信頼できる送信元と、ユーザーガイドに記載されたポートとプロトコルに限る
• メールの処理と管理の機能を別々のネットワークインターフェースに分ける
• 機器をファイアウォールなどのフィルタリング機器の内側に置き、管理通信を信頼できる端末に限る
• ログを外部のサーバーに送り、事後の調査に足りる期間保存する
• 管理ポータルのHTTPと、不要なHTTPやFTPなどのサービスを無効にする
• 利用者の認証にSAMLやLDAPを使い、既定の管理者パスワードを変更し、管理者ごとに必要な権限のアカウントを作る

まとめ#

CVE-2026-76519は、Cisco Secure Email Gatewayが添付ファイルを検査する処理の欠陥で、細工したメールが機器を通るだけで、認証も利用者の操作もなくroot権限のコマンド実行に至るおそれがあります。ファイルレピュテーションを有効にしている機器は、Content Scanner Toolsが25.3.0.5525以降になっているかを直ちに確かめてください。更新は再起動を伴わずに済みます。あわせてsystem_logsで侵害の兆候を確認し、兆候が出なくても機器の外側のログで外部への通信を調べます。侵害が疑われる場合は、更新の前に調査の材料を残し、再構築と資格情報の入れ替えをクラスタの全台に対して行います。ログや通信の調査は、自組織が管理する機器に限って行ってください。

この記事は2026年10月15日時点の情報に基づいています。悪用の規模や攻撃者についての情報、JPCERT/CCの注意喚起は今後公表される可能性があるため、Ciscoのアドバイザリ、CISAのKEVカタログ、JPCERT/CCの注意喚起で最新の情報を確認してください。