Cisco Secure Email Gateway のゼロデイ脆弱性 CVE-2026-76519：実環境の攻撃で悪用を確認

Cisco Secure Email Gateway 0-Day Vulnerability Actively Exploited in Attacks

2026/10/15 CyberSecurityNews — メールセキュリティ製品 Cisco Secure Email Gateway に存在する深刻なゼロデイ脆弱性 CVE-2026-76519 (CVSS 9.8) が、実際のサイバー攻撃で悪用されていると、Cisco が警告している。メールに添付される特別に細工されたファイルを添付したメールを送信する攻撃者は、認証を必要とせずに影響を受けるアプライアンス上で root 権限を取得する可能性がある。

Cisco は 2026年10月14日にセキュリティ・アドバイザリを公開し、この脆弱性が実際の攻撃で悪用されていることを把握したと述べている。ただし、現時点においては、攻撃者の身元や侵害されたデバイスの数は公表されておらず、攻撃活動の規模も明らかにされていない。

Cisco Secure Email Gateway のゼロデイ脆弱性 CVE-2026-76519

脆弱性 CVE-2026-76519 は、Cisco Secure Email Gateway の Advanced Malware Protection (AMP) 機能に存在する欠陥であり、AMP の File Reputation サービスが有効な場合において、特定のメール添付ファイルをゲートウェイが適切に処理できないことに起因する。

悪意の添付ファイルを含むメールを、影響対象のゲートウェイ経由で送信する攻撃者は、システム上への任意のファイルの書き込みや、root 権限でのコマンド実行を引き起こす可能性がある。root 権限が不正に取得された場合には、アプライアンスの基盤となるオペレーティング・システムの制御が奪取される。

攻撃の起点は、利用者による添付ファイルの開封ではなく、メールゲートウェイによる添付ファイルの処理にある。攻撃の成立において、メール受信者によるリンクのクリックや、添付ファイルの実行が必要になると、Cisco は説明していない。したがって、利用者の操作を必要としない攻撃が引き起こされる可能性がある。

影響を受ける製品と条件

脆弱性 CVE-2026-76519 は、AsyncOS を実行する物理アプライアンス／仮想アプライアンスに影響し、以下の 2 つの条件を満たす環境で悪用される可能性がある。

1. File Reputation が有効になっており、メールポリシーに割り当てられている。
2. Content Scanner Tools パッケージのバージョンが 25.3.0.5525 未満である。

これらの条件を満たす Cisco Secure Email Gateway では、この脆弱性が悪用される可能性がある。その一方で、以下の製品は今回の脆弱性の影響を受けない。

• Cisco Secure Email and Web Manager
• Cisco Secure Web Appliance

管理者にとって必要なことは、利用中の AsyncOS のバージョンに加え、AMP の設定と Content Scanner Tools のバージョンを確認することである。

過去にも Cisco Secure Email Gateway の脆弱性が悪用

以前にも Cisco Secure Email Gateway では、今回とは別の脆弱性の悪用が報告されている。2026年9月には CVE-2026-76461 の悪用が報じられた。また、CVE-2025-20393 を悪用する Cisco のメールアプライアンスへの攻撃も確認されている。

ただし、CVE-2025-20393 は Spam Quarantine (スパム隔離) 機能に関連する脆弱性であり、今回の CVE-2026-76519 が存在する AMP とは異なるため、過去の事例と今回の攻撃活動を関連させるべきではない。

侵害の有無を確認するための調査方法

Cisco が管理者に対して求めるのは、影響を受ける可能性のあるゲートウェイの設定とログの確認である。まず、受信メール／送信メールのポリシーで Advanced Malware Protection の設定を開き、File Reputation が有効になっていることを確認した上で、以下のコマンドを実行して Content Scanner Tools のバージョンを調べる。

contentscannerstatus

表示されたバージョンが 25.3.0.5525 未満で、File Reputation に関する条件も満たしている場合には、この脆弱性の影響を受ける可能性がある。

システムログを確認して侵害の兆候を調査

Cisco は、侵害の有無を調査するために、以下のコマンドの実行を推奨している。

grep "System Security" system_logs

複数のアプライアンスでクラスタを構成している場合には、クラスタ内のすべてのデバイスを個別に確認する必要があり、侵害を示唆するログが見つかった場合にはインシデント対応を開始すべきである。また、セキュリティスキャンが完了していないことを示す結果が確認された場合は、Cisco Technical Assistance Center (TAC) の支援を受けることが推奨されている。

ログに異常がなくても侵害の可能性は否定できない

調査結果に異常が見つからなくても、攻撃を受けていないと断定することはできないと、Cisco は警告している。攻撃者が root 権限を取得していた場合には、侵害の証拠が隠蔽／削除される可能性がある。

そのため、セキュリティチームにとって必要なことは、ゲートウェイ内部のログに加えて、ゲートウェイとは別のファイアウォールやネットワーク機器のログも確認し、以下のような不審な通信を調査することである。

• メールゲートウェイから外部への予期しないファイルのアップロード。
• 不審な IP アドレスからゲートウェイへのダウンロード通信。
• 通常の運用では想定されないネットワーク通信。

修正プログラムを適用すれば、この脆弱性を悪用する侵入経路は塞げるが、過去に攻撃者がアクセスしていたかどうかまでは確認できない。そのため、不審な活動が確認された組織は、Cisco TAC へ連絡するとともに、詳細な調査に備えて利用可能な証拠を保全する必要がある。

修正済みバージョンと緊急対応

Cisco は、CVE-2026-76519 の修正済みバージョンとして、以下を公開している。

AsyncOS 16.0 を利用している顧客は、修正済みリリースへ移行する必要がある。AsyncOS のバージョン 16.5 以下を使用している環境についても、Cisco は 16.5.0-780 への移行が強く推奨される。

Content Scanner Tools の更新でも修正可能

今回の脆弱性の修正においては、AsyncOS 本体のアップグレードに加え、Content Scanner Tools パッケージを 25.3.0.5525 以降に更新することでも対応できる。この方法は、適切なライセンスを持つ、サポート対象となっている AsyncOS リリースで利用できるものであり、AsyncOS 全体のアップグレードやアプライアンスの再起動は必要ない。

自動アップデートを無効にしている場合は、以下のコマンドで更新を要求できる。

contentscannerupdate

更新後は、contentscannerstatusを実行し、修正済みバージョンがインストールされたことを確認する必要がある。

回避策は存在しない：自動更新環境でも確認が必要

Cisco によると、CVE-2026-76519 に対する既知の回避策は存在しない。したがって、影響を受ける環境では、修正済み AsyncOS への更新または、修正済み Content Scanner Tools パッケージの適用が必要となる。

自動アップデートが有効になっていても、修正済みパッケージが適用済みとは限らないため、管理者はインストール済みのバージョンを確認する必要がある。その一方で Cisco は、クラウドサービス Secure Email Cloud Gateway について、修正済みパッケージをすでに全体へ展開したと説明しており、同サービスの顧客が自らアップデートを適用する必要はない。

影響を受ける組織にとって必要なことは、ゲートウェイへの修正プログラムの適用と、過去に侵害を受けていないかの調査を並行して進めることである。すでに、今回の脆弱性は実際の攻撃で悪用されているため、更新を完了させるだけでなく、侵害の痕跡が残されていないか確認することも重要である。

Cisco Secure Email Gateway において深刻なゼロデイ脆弱性 CVE-2026-76519 が確認され、実際のサイバー攻撃での悪用が報告されています。Advanced Malware Protection (AMP) 機能の処理不備により、認証なしの遠隔から root 権限でコマンドが実行される恐れがあります。影響を受ける環境では、修正済み AsyncOS への移行／Content Scanner Tools パッケージの適用／システムログやネットワーク通信の確認が必要です。早期の修正プログラムの適用と侵害の有無の調査が求められます。