Ciscoは、Secure Email Gateway（SEG）アプライアンスで悪用されているゼロデイ脆弱性に対処するセキュリティアップデートを公開した。この脆弱性により、リモートの未認証攻撃者がファイルを書き込み、基盤となるオペレーティングシステム上でroot権限によりコマンドを実行できる可能性がある。
この脆弱性にはCVE-2026-76519が割り当てられており、メール添付ファイルの不適切な処理に起因して、Advanced Malware Protection（AMP）機能における相対パスのパストラバーサルの弱点が生じる。Ciscoの説明によれば、特別に細工した添付ファイルを含むメッセージを、更新されていないアプライアンス経由で送信するだけで、この欠陥を悪用できる。
この脆弱性の影響を受けるのは誰か？
File Reputationサービスが有効化され、メールポリシーに割り当てられており、Content Scanner Toolsのバージョンが25.3.0.5525未満である場合、SEGのインスタンスが影響を受ける。管理者は、CLIインターフェースからcontentscannerstatusコマンドを使用してバージョンを確認し、Advanced Malware Protectionセクションの受信メールまたは送信メールのポリシーでEnable File Reputationオプションを確認できる。
積極的な悪用と侵害の痕跡
Ciscoは、インシデント対応チームPSIRTが2026年10月にこの脆弱性の積極的な悪用を把握したと述べたが、攻撃や背後にいる組織についての追加情報は公表しなかった。その代わりに同社は、システムメッセージに関連する侵害の痕跡を提示した。これには、侵害の痕跡が見つかった疑いがある場合、セキュリティスキャンが完了していない場合、または痕跡が見つからなかった場合が含まれる。
侵害の兆候が表示された場合、またはスキャンに失敗した場合、Ciscoはテクニカルアシスタンスセンター（TAC）への連絡を推奨している。一方、侵害の痕跡が見つからなかったことを示すメッセージが表示された場合でも、安定版が提供され次第アップグレードする必要がある。
システム管理者は何をすべきか？
Ciscoは、root権限でのコマンド実行を取得した攻撃者が悪用の痕跡を消去する可能性があると警告し、ファイアウォールとネットワークのログを確認して、ダウンロードやアップロードの操作、外部または不審なIPアドレスとの通信を探すよう推奨した。また、同社から連絡を受けた顧客に対しては、デバイスを安全な設定に戻し、可能な場合はデバイスにインストールされた認証情報と暗号化素材を更新し、デバイスへのアクセスを制限するとともに、強力なアクセス制御メカニズムを適用するよう求めた。
なぜこのニュースが重要なのか？
この脆弱性が危険なのは、認証が不要であること、メール添付ファイルを介して悪用できること、そしてroot権限を取得できることという3つの要素が組み合わさっているためだ。また、Ciscoのメールセキュリティ製品を狙った一連の悪用中の脆弱性の一つでもあり、バージョンの確認とログの調査は、単なる定期的なアップデートではなく、緊急の対応となる。
Shadowserverは、インターネット上に公開されたCisco Secure Email Gatewayのインスタンスを約300件監視しているが、偽のデバイスや、すでに保護されたデバイスの数を特定する情報はない。Ciscoは2024年7月にも、SEGの別の脆弱性CVE-2024-20401に対処していた。その後、1月には、2025年11月から悪用されていた深刻度の高いAsyncOSの脆弱性CVE-2025-20393を修正した。先月、同社はメール解析における別のゼロデイ脆弱性CVE-2026-76461についても警告しており、この脆弱性でもroot権限でコマンドを実行できる。