Cisco Secure Email Gateway に、認証を一切通っていない攻撃者が、細工したメールを1通送りつけるだけで、機器のOS上で root 権限のコマンドを実行できる欠陥が見つかりました。CVE-2026-76461 です。
メールを受け取って解析する処理に検証不足があり、メール本文に仕込まれたSQL文がそのまま実行されます。受信者が開く必要すらありません。
そしてこれは、すでに攻撃に使われています。Cisco自身がアドバイザリに「2026年9月、Cisco PSIRTはこの脆弱性が実際に悪用されていることを把握した」と書いています。
回避策はありません。修正版へ更新してください。ただし注意点があります。すでに侵害された疑いがある機器は、更新しただけでは元に戻りません。Ciscoは機器の種類ごとに別の復旧手順を示しており、後半でそれを扱います。
今すぐ行う対策
- ✓自分が対象かを確認する。 対象は Cisco Secure Email Gateway（物理・仮想の両方） で、Ciscoは「機器の設定内容にかかわらず影響を受ける」と明記しています。設定で回避できる余地はありません。
- ✓対象外の製品も明記されています。 Ciscoは Secure Email and Web Manager と Secure Web Appliance について、この脆弱性の影響を受けないことを確認済みとしています。同じメール製品群でも別扱いです。
- ✓AsyncOSを修正版へ上げる。 系列ごとの最初の修正版は、15.5以前は 15.5.5-014、16.0系は 16.0.4-302、16.5系は 16.5.0-780。Ciscoは「16.5.0-780への移行を強く推奨する」と付け加えています。
- ✓更新手順は管理画面から。 System Administration > System Upgrade → Upgrade Options → Download and Install で対象リリースを選びます。CLIなら `upgrade` を実行して `DOWNLOADINSTALL` を入力します。更新後に機器が再起動します。
- ✓インターネットからメールを受ける機器なので、優先度は最上位です。 未認証で成立し、攻撃の入口が「メールの受信」である以上、公開されている時点で到達可能とみなすべきです。
このスコアの出どころを明記します。 9.8 は採番元であるCisco（CNA）がCVSS v3.1で付けた評価です（ベクタは `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`）。
2026年9月15日時点で、NVDのNISTによる分析は「Undergoing Analysis」で、NIST独自のスコアはまだ付いていません。NVDのページに出る 9.8 はこのCiscoの値です。弱点の種類は CWE-89（SQLインジェクション）、CiscoのBug IDは CSCwu56234 です。
ベンダー自身が「悪用を確認した」と書いている
この脆弱性の緊急度は、スコアではなく悪用の実績から来ています。Ciscoのアドバイザリにはこう書かれています。
Cisco Security Advisory「cisco-sa-esa-inj-2bLVGmhX」より
Exploitation and Public Announcements
In September 2026, the Cisco PSIRT became aware of active
exploitation of this vulnerability.
（2026年9月、Cisco PSIRTはこの脆弱性が実際に悪用されている
ことを把握した）
Source
This vulnerability was found during the resolution of a Cisco TAC
support case.
（この脆弱性は、Cisco TACのサポート案件を対応する過程で発見された）Ciscoが書いているのはこの2点までで、どういう案件だったか、発見と悪用がどう結び付くかまでは公表されていません。推測で補わずに、「ベンダーが悪用を確認している」という事実だけを受け取れば十分です。
米国のCISAも2026年9月14日にこのCVEを「悪用が確認された脆弱性（KEV）」のカタログへ追加し、米国連邦民間機関に対する是正期限を2026年9月17日に設定しました。この期限は米国の政府機関に課されたもので日本の組織を拘束しませんが、急がれている度合いの目安にはなります。
回避策は無い
Ciscoのアドバイザリは、Workarounds の項に「There are no workarounds that address this vulnerability.（この脆弱性に対処する回避策はありません）」と明記しています。
つまり設定変更やルール追加で時間を稼ぐ手は、公式には提示されていません。更新までの間に何かを挟みたくなりますが、公式が示していない自己流の緩和策は、効いている保証がないうえに正規のメール配送を壊す危険があります。更新を最優先にしてください。
侵害されていないかを確認する（公式の手順）
Ciscoは侵害の確認方法（Indicators of Compromise）も公開しています。mail_logs に不審なSQL文が残っていないかを見ます。機器がクラスタを組んでいる場合は、各機器のログをそれぞれ確認します。
Cisco公式アドバイザリが示す確認例（網羅的なものではない）
cisco-esa> grep -i "COPY.*TO PROGRAM" [IronPort Text Mail Logs Log name - Default: mail_logs]
出力に何らかの項目が出た場合、悪意ある活動を示している可能性がある。ただし、この確認だけで安心しないでください。Ciscoは同じ節で、root権限を取られた場合の限界をはっきり書いています。
- ✓機器の中のログは消されている可能性がある。 Ciscoは「この水準のアクセスを取られると、悪用の痕跡や侵害の指標は攻撃者によって削除・隠蔽されうる」と書いています。ログが綺麗でも、それは無事だった証拠になりません。
- ✓機器の外のログを突き合わせる。 Ciscoが強く推奨しているのがこれです。ネットワークログとファイアウォールログを機器の外側で確認し、当該機器から外部IPへの想定外のアップロードや、悪意あるIPからのダウンロードが無かったかを見ます。
- ✓Cisco Secure Email Cloud を使っていてCLIに触れない場合、独力での確認ができないことがあるとCiscoは書いています。この場合、上のgrepによる自己確認は成立しません。次節のCloud向けの記述を読んでください。
侵害が疑われるときの復旧手順は、機器の種類で違う
ここが更新とは別の話になる部分です。Ciscoはアドバイザリの Recommendations に、オンプレミスの物理機器・オンプレミスの仮想機器・Cloud の3つに分けて手順を書いています。「更新したから大丈夫」ではありません。
- ▸オンプレミスの物理アプライアンス。 悪用が疑われる場合、Ciscoは Cisco TAC（テクニカルアシスタンスセンター）へ連絡するよう推奨しています。調査を早めるため、対象機器でリモートアクセスを有効にしておくことも求めています。
- ▸オンプレミスの仮想アプライアンス。 悪用が疑われる場合、Ciscoが「強く推奨する」手順は次の5段階です。① フォレンジック情報を保全する（自組織のインシデント対応方針に従う）。Ciscoは「以降の手順へ進む前に記録すること。新しいインスタンスを配備すると設定とログが破壊される」と重要事項として書いています。② 修正版のいずれかを載せた新しい仮想マシンを配備する。③ 製品設定を再構築する。④ 機器に導入されている資格情報と暗号鍵類をすべて更新する。⑤ 異常な挙動が無いか監視を継続する。復旧が不可能な場合はTACへ連絡するよう書かれています。
- ▸仮想アプライアンスで悪用が疑われず、影響を受ける版を使っている場合は、Ciscoは修正版への更新を強く推奨するとしています。この一文はアドバイザリの「On-Premises Virtual Devices」の節の中にあるもので、全機器に対する一般則としては書かれていません。
- ▸Cisco Secure Email Cloud。 Ciscoは自社で脅威インテリジェンス調査を実施し、侵害の可能性を示す指標が見つかった機器の所有者には直接連絡済みで、現在も復旧作業を進めており、自社の管理範囲では緩和策を適用済みとしています。Cloud機器はすべて Release 16.5.0-780 へ更新済みとも書かれています。連絡を受けた顧客に対しては、機器に導入されている資格情報と暗号鍵類を、可能な範囲で更新して安全な構成に戻すよう強く推奨しています（原文は "renewing credentials and any cryptographic materials that are installed on the appliance, when possible"）。さらにCiscoは、この節でもう1点、「機器へのアクセスを制限し、堅牢なアクセス制御の仕組みを導入すること」を強く推奨しています。資格情報の更新だけで終わりではありません。なおCiscoは「連絡が無ければ無事」とは書いていません。連絡の有無は、その機器が侵害されていないことの証明にはなりません。
Ciscoはこれとは別に、恒久的な設定の締め方（General Recommendations For Hardening）も挙げています。インターネットから機器へのアクセスを遮断する（必要な場合は既知の信頼できるホスト・ポート・プロトコルに限定）、メール機能と管理機能をネットワークインターフェースで分ける、ファイアウォール等の背後に置いて管理トラフィックを絞る、ログを外部サーバーへ送って十分な期間保持する、管理ポータルのHTTPを無効化する、といった内容です。今回の更新とあわせて見直す価値があります。
対象と修正版のまとめ
- ▸対象製品：Cisco Secure Email Gateway（物理・仮想の両方／設定内容を問わず）
- ▸対象外：Secure Email and Web Manager、Secure Web Appliance（Ciscoが影響なしと確認）
- ▸修正版：AsyncOS 15.5以前 → 15.5.5-014 ／ 16.0 → 16.0.4-302 ／ 16.5 → 16.5.0-780（Ciscoは16.5.0-780への移行を推奨）
- ▸公表：2026年9月14日 16:00 GMT（アドバイザリID cisco-sa-esa-inj-2bLVGmhX、Version 1.0 Final）
- ▸KEV登録：2026年9月14日（CISA）／是正期限：2026年9月17日（米国連邦民間機関向け）
- ▸回避策：無し（修正版の適用が必要）
- ▸侵害が疑われる場合：更新とは別に、機器の種類ごとの復旧手順がある（物理→TACへ連絡／仮想→フォレンジック保全のうえ新VMで再構築・資格情報と暗号鍵類を更新／Cloud→Ciscoが連絡済みの顧客は、機器に導入されている資格情報と暗号鍵類を可能な範囲で更新し、あわせて機器へのアクセス制限と堅牢なアクセス制御を導入）