Ciscoは2026年10月14日、Cisco Secure Email Gatewayの脆弱性「CVE-2026-76519」を公表しました。認証不要の遠隔攻撃者が細工した添付メールを送り、OS上への任意のファイル書き込みや、最上位のroot権限でのコマンド実行につなげる恐れがあります。修正は公開済みですが、侵害が疑われる機器は更新前の証拠保全にも注意が必要です。
対象かどうかは設定とツールの版で確認
Ciscoの深刻度評価はCriticalです。問題は、AMP機能の添付ファイル処理にあります。影響対象は、脆弱なCisco AsyncOS Softwareを使う物理・仮想ゲートウェイで、次の条件に該当するものです。
- File Reputationサービスが有効で、メールポリシーに割り当てられている。
- Content Scanner Toolsが25.3.0.5525未満である。
製品名だけで判断せず、設定とツールの版を合わせて調べる必要があります。File Reputationの状態は管理画面のメールポリシーで確認できます。Content Scanner Toolsの版は、コマンド操作を行うCLIでcontentscannerstatusを実行して確認します。
日本での提供は発表には書かれていません。
ツール更新は再起動不要、侵害時は更新前に証拠保全
Cisco AsyncOS Softwareは、15.5系では15.5.5-014、16.5系では16.5.0-780で修正されています。16.0系は修正版への移行が必要です。Ciscoは16.5未満の利用者に、16.5.0-780への移行を強く推奨しています。
Content Scanner Toolsの25.3.0.5525以降にも修正が含まれます。このツールの更新には、ソフトウェアのアップグレードや製品の再起動は不要です。自動更新で修正が適用済みなら追加の更新対応は不要で、自動更新が無効ならcontentscannerupdateによる手動更新が必要です。脆弱性を解消する回避策はありません。
一方、修正の適用と、すでに侵害されていないかの確認は分けて進める必要があります。Cisco Secure Email Cloud Gatewayは修正済みで更新作業は不要です。ただし、侵害の疑いについてCiscoから連絡を受けた顧客には、認証情報などの更新が推奨されています。Ciscoは対象顧客に直接連絡し、復旧対応を進めています。
侵害の確認にはsystem_logsを調べます。クラスター構成では全機器のログが対象です。攻撃者が証拠を隠せるため、Ciscoは外部の通信ログとの照合も推奨しています。
特に、侵害された仮想機器のアップグレードは証拠やログを破壊するとしています。仮想機器では証拠保全後の新規VM構築と認証情報などの更新、物理機器ではCiscoの技術支援窓口であるTACへの相談が推奨されています。SSH秘密鍵の漏えいにより、ほかのクラスター機器へ侵害が広がる恐れもあります。
影響する会社・しない会社
- 影響する: 脆弱なCisco AsyncOS Softwareを使う物理・仮想ゲートウェイを運用し、File Reputationが有効かつメールポリシーに割り当て済みで、Content Scanner Toolsが25.3.0.5525未満の会社です。
- 影響しない: Cisco Secure Email and Web Manager、またはCisco Secure Web Applianceについて、Ciscoはこの脆弱性の影響がないと確認しています。
- 更新対応は不要: Cisco Secure Email Cloud Gatewayは修正済みです。ただし、既に発生した侵害への対応が必要な場合があるため、Ciscoからの個別連絡を確認してください。
情シスが今日やること
- メール基盤の担当者・委託先に、利用形態を確認します。 物理機器、仮想機器、Cisco Secure Email Cloud Gatewayのどれを使っているかを整理します。クラウド版の担当者には、更新作業は不要でも侵害後の対応が必要な場合があると伝え、Ciscoからの個別連絡を確認してもらいます。
- 物理・仮想機器の設定と版を記録します。 管理画面のメールポリシーでFile Reputationの有効状態と割り当てを確認します。続けてCLIの
contentscannerstatusでツールの版を取得し、25.3.0.5525未満かを判定します。
- アップグレード前に、侵害調査と証拠保全の要否を確認します。 セキュリティ担当者へ
system_logsと外部の通信ログの照合を依頼します。クラスターでは全機器を対象にします。侵害が疑われる仮想機器は、そのままアップグレードせず、証拠保全を先に進めます。物理機器はTACへ相談します。
- 対象機器の更新方法と作業担当を決めます。 ツールの自動更新が適用済みか確認し、無効なら
contentscannerupdateによる手動更新を手配します。AsyncOSの移行は、Ciscoが推奨する16.5.0-780を踏まえて担当者・委託先と日程を調整します。更新後は再度ツールの版を記録し、修正確認と侵害調査の結果を分けて管理してください。
