【緊急】Cisco Secure Email Gateway CVE-2026-76519：Content Scanner Tools 25.3.0.5525以降へ更新（CVSS v3.1 9.8）— 添付ファイル付きメールを通すだけでroot権限を奪われ、悪用も確認済み

Cisco Secure Email Gateway に、認証を通っていない攻撃者が、細工した添付ファイル付きのメールを機器に通すだけで、機器のOS上で root 権限のコマンドを実行できるおそれのある欠陥が見つかりました。CVE-2026-76519 です。Ciscoは2026年10月14日にアドバイザリを公開し、「2026年10月、Cisco PSIRTはこの脆弱性が実際に悪用されていることを把握した」と書いています。CISAも同じ10月14日にKEV（悪用が確認された脆弱性のカタログ）へ追加しました。

回避策はありません。更新してください。Ciscoのアドバイザリの Workarounds には「この脆弱性に対処する回避策はありません」とあります。修正は、機器全体のバージョンアップでなくても、Content Scanner Tools を 25.3.0.5525 以降へ更新するだけでも入ります（再起動は不要）。ただし、すでに侵害された疑いがある機器は、更新しただけでは元に戻りません。後半の「侵害が疑われるとき」を読んでください。

9月に公表された別の欠陥（CVE-2026-76461）とは別物です。CVE番号も弱点の種類（今回はCWE-23、9月はSQLインジェクション）も違いますが、どちらもCisco Secure Email Gatewayで、認証なしでroot権限に至るおそれがあり、悪用が確認されています。メールゲートウェイは外部からのメールを受ける入口なので、続けて狙われています。

このスコアの出どころを明記します。9.8 はCisco（CNA）がCVSS v3.1で付けた評価です（ベクタは `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`）。2026年10月15日の確認時点で、NVDはまだ情報の補完（NISTによる分析）の途中で、NIST独自のスコアは付いていません。NVDのページに出る 9.8 は、このCiscoの値です。弱点の種類は CWE-23（相対パストラバーサル）、CiscoのBug IDは CSCwu56223 です。

今すぐ行う対策

• ✓自分の機器が対象か確かめる。Cisco Secure Email Gateway（物理・仮想の両方）で、脆弱なバージョンのCisco AsyncOSを実行していて、かつ次の2つが両方当てはまる場合に影響を受けます。どのAsyncOSが脆弱かは、下の「修正版」で確認してください。(1) File Reputation（AMPの一部）が有効で、メールポリシーに割り当てられている、(2) Content Scanner Tools のバージョンが 25.3.0.5525 より前
• ✓File Reputation が有効か見る。管理画面で「Mail Policies」→「Incoming Mail Policies」または「Outgoing Mail Policies」→「Advanced Malware Protection」を開き、メールポリシーを選んで「Enable File Reputation」にチェックが入っているかを確認します
• ✓Content Scanner Tools のバージョンを見る。CLIで `contentscannerstatus` を実行します。Ciscoの例では「25.2.0.5427.15.5.001」が脆弱なバージョンとして示されています
• ✓更新する。自動更新が有効なら、更新が適用されていれば作業は不要です。自動更新を止めている場合は、CLIで `contentscannerupdate` を実行して手動で更新します。自動更新を有効にするには、管理画面の「Security Services」→「Service Updates」→「Edit Update Settings」で「Automatic Updates」にチェックを入れ、「Submit」してから「Commit Changes」を押します
• ✓更新後に、もう一度 `contentscannerstatus` で 25.3.0.5525 以降になったことを確かめる
• ✓Cisco Secure Email Cloud Gateway を使っている場合は、利用者側の作業は不要です。Ciscoが基盤を保護し、修正済みのContent Scanner Toolsを展開済みと書いています
• ✓更新と並行して、侵害の痕跡を確かめる。`grep "System Security" system_logs` の結果を見ます（クラスタなら各機器で実行）。詳細は「侵害が疑われるとき」にあります

何が起きるのか（Ciscoの説明）

• ▸場所：Cisco Secure Email Gateway の Advanced Malware Protection（AMP）機能です。Ciscoの名称は「Cisco Secure Email Gateway Arbitrary File Write Vulnerability（任意のファイルの書き込み）」です
• ▸原因：File Reputation（ファイルの評判を問い合わせる機能）が有効なとき、メールの添付ファイルの扱いに不備があります
• ▸どう攻撃されるか：攻撃者が、細工した添付ファイルを含むメールを、影響を受ける機器に通すことで、OS上に任意のファイルを書き込み、root権限でコマンドを実行できるおそれがあります。認証は不要です（CVSSの PR:N、AV:N）
• ▸受信者が添付を開く必要があるかは、アドバイザリに書かれていません。メールを機器が処理する段階の欠陥として説明されています
• ▸影響を受けない製品：Ciscoは、Secure Email and Web Manager と Secure Web Appliance は影響を受けないと確認しています

修正版（Ciscoのアドバイザリより）

• ▸AsyncOS 15.5：15.5.5-014 が最初の修正版です
• ▸AsyncOS 16.0：修正版の表には「修正版へ移行（Migrate to a fixed release）」とだけあり、16.0系の修正版番号は示されていません
• ▸AsyncOS 16.5：16.5.0-780 が最初の修正版です。Ciscoは、16.5より前のリリースを使っている場合、16.5.0-780へ移行することを強く推奨しています
• ▸Content Scanner Tools：25.3.0.5525 以降に修正が入っています。ソフトウェアの更新や再起動なしで入るとCiscoは書いています
• ▸9月のCVE-2026-76461の修正版も、同じ 16.5.0-780 でした。16.5.0-780 へ上げると、両方に対処できます

侵害が疑われるとき（Ciscoの手順）

• ▸確認コマンド：`grep "System Security" system_logs`。クラスタなら各機器で確認します
• ▸ログの読み方：「Suspected compromise indicator was found（侵害の兆候あり）」なら侵害の対応へ。「Security scan did not complete」ならCisco TACへ。「No compromise indicator was found」なら侵害の兆候はなく、修正版へ更新します
• ▸ただし、この確認だけで安心しないでください。成功した攻撃者はroot権限を得るため、痕跡を消したり隠したりできるとCiscoが書いています。機器の外側のネットワークログ・ファイアウォールのログも突き合わせ、機器から外部IPへの予期しないアップロードや、不審なIPからのダウンロードがないか確認するよう勧めています
• ▸物理機器：侵害が疑われる場合はCisco TACへ連絡します。調査を早めるため、リモートアクセスを有効にしておくよう求めています
• ▸仮想機器：まずフォレンジック情報を記録します（侵害された環境を更新すると、証拠もログも消えます）。そのうえで、修正版の新しい仮想マシンを作り、以前の設定ファイルを取り込まずに設定を作り直し、資格情報と暗号鍵を入れ替え、不審な動作を監視し続けます
• ▸クラスタを組んでいる場合：メンバー間の認証に使うSSH秘密鍵が、侵害された機器から取られるおそれがあります。侵害された機器が1台でもあれば、クラスタの全メンバーを安全な状態へ戻すようCiscoは強く推奨しています
• ▸Secure Email Cloud：Ciscoが調査し、侵害の兆候があった機器の利用者へは、Ciscoが直接連絡したと書いています

同じ日にKEVへ追加された、ほかの3件（概要のみ）

CISAは2026年10月14日に、Cisco以外にも3件をKEVへ追加しました。本記事ではCiscoだけを詳しく扱い、次の3件は、NVDの内容とAhsayの告知を転記するだけにとどめます。ベンダー側の修正情報は、各社の公式ページで確認してください。

• ▸Palo Alto Networks PAN-OS（CVE-2026-0322）：管理インターフェースのコードインジェクション（CWE-94）で、認証済みの攻撃者がネットワーク経由でrootの任意コードを実行できるとされています。対象は PA-Series・VM-Series・Panorama で、Cloud NGFW と Prisma Access は影響を受けません。管理インターフェースへのアクセスを信頼できる内部IPに限る対策が、ベンダーの推奨する運用です。CVSS v4.0は8.6（HIGH）で、Palo Alto Networksが付けた値です
• ▸Ahsay AhsayCBS（CVE-2026-105133）：10.3.2以前で、認証の不備（CWE-287）。CVSS v3.1は7.3（HIGH）で、採番元のVulDBが付けた値です
• ▸Ahsay AhsayCBS（CVE-2026-105134）：10.3.2以前の Replication Receiver で、コマンドインジェクション（NVDの分類はCWE-77）。CVSS v3.1は10.0（CRITICAL）で、採番元のVulDBが付けた値です
• ▸Ahsay AhsayCBS の修正版は、NVDの記載より新しいAhsayの告知を優先してください。NVDの説明は「10.3.4へ更新すれば緩和・解決できる」としていますが、Ahsayは2026年10月12日付の告知で、v9.15.2.59とv10.3.4.0ではこの2件を完全には修正できていなかったと公表しています。現在の指示は、v10系は v10.3.4.45 のホットフィックス、v7〜v9系は v9.15.2.70 のホットフィックスを適用し、適用後にサーバーを再起動することです（どちらもパートナーポータルへのログインが必要）。告知は悪用の有無や深刻度のスコアには触れていません。10.3.4.0までの更新で済ませないでください

何が起きたか（日付つき）

• ▸2026年10月14日：Ciscoが、アドバイザリ cisco-sa-esa-afw-zqYJkjxp（Version 1.0・最終版）を公開。同日、CISAがKEVに追加し、NVDにもCVE-2026-76519が登録されました（NVDが記録する連邦機関の対応期限は10月17日。米国の連邦機関に課された期限で、日本の組織を拘束しませんが、急がれている度合いの目安にはなります）
• ▸発見の経緯：Ciscoは「社内のセキュリティスキャンで見つかった」と書いています。一方で、悪用は2026年10月にPSIRTが把握したと別の項に書かれています。この2つがどう結び付くかは、公表されていません
• ▸2026年9月：別のCVE（CVE-2026-76461）が公表され、同じ製品で悪用が確認されています（9月15日の記事を参照）

確認できなかったこと

• ▸攻撃の実態。誰が、どの規模で、どの組織に使っているかは、Ciscoの資料に書かれていません
• ▸添付ファイルを受信者が開く必要があるか。アドバイザリは、機器が処理する段階の欠陥として書いており、開封の要否には触れていません
• ▸AsyncOS 16.0系の修正版の番号。修正版の表は「移行」としか書いていません
• ▸NISTの評価。2026年10月15日の確認時点で、NVDは情報補完の途中です。9.8（CRITICAL）はCiscoの値で、NISTの評価が付くと変わることがあります
• ▸侵害の痕跡（IoC）の詳細。ログの確認コマンドは示されていますが、攻撃に使われるファイル名やIPアドレスは、公式資料にありません
• ▸Palo Alto Networksの修正版。本記事では、NVDの説明の範囲までしか確認していません。Ahsayの修正版は、上記の2026年10月12日付の告知の範囲までです

共有するならこの3行

• ▸Cisco Secure Email Gatewayに、認証なしでroot権限を奪われるおそれのある欠陥（CVE-2026-76519・CVSS v3.1 9.8）が見つかり、Ciscoは悪用を確認済み。回避策はなく、10月14日にCISAもKEVに追加した
• ▸★CLIで `contentscannerstatus` を実行し、Content Scanner Tools が 25.3.0.5525 より前なら `contentscannerupdate` で更新する。機器ごと上げるなら 15.5.5-014 か 16.5.0-780 以降。クラウド版の利用者は作業不要
• ▸更新しても、すでに侵害された機器は元に戻らない。`grep "System Security" system_logs` で確認し、疑いがあればCisco TACへ。仮想機器は、更新の前にフォレンジック情報を記録する