Cisco Secure Email Gatewayに添付ファイル1通でroot権限を奪われる脆弱性（CVE-2026-76519）が悪用確認 — ファイルレピュテーションを有効にした機器は今日更新を
Ciscoのメールセキュリティ機器 Cisco Secure Email Gateway（旧称 Email Security Appliance、ESA）に、細工した添付ファイル付きのメールを1通送るだけで、機器の中に任意のファイルを書き込み、root権限でコマンドを実行できる脆弱性（CVE-2026-76519、CVSS 9.8）が見つかった。Ciscoは2026年10月14日の勧告で、10月に入ってから実際の攻撃に使われていることを把握したと公表した。米CISAも同日、悪用が確認された脆弱性の一覧（KEV）に追加し、米政府機関に10月17日までの対応を求めている。攻撃者はログインする必要も、受信者にファイルを開かせる必要も無い。メールが機器を通過するだけで成立する点が、この脆弱性の最も危険なところである。
背景
Ciscoの勧告（cisco-sa-esa-afw-zqYJkjxp）によると、問題はマルウェア対策機能 AMP（Advanced Malware Protection）の一部である「ファイルレピュテーション」にある。添付ファイルの評判を照会してマルウェアかどうかを判定する機能で、この機能が添付ファイルを処理する際に、ファイルの置き場所を指す文字列でフォルダの外へ出られる不備（相対パストラバーサル、CWE-23）があった。
影響を受けるのは、物理機・仮想機の両方で、次の2つの条件を両方満たす機器である。
- ファイルレピュテーションが有効で、メールポリシーに割り当てられている
- 添付ファイルの中身を調べる部品「Content Scanner Tools」の版が 25.3.0.5525 より前
修正は2通りで配布されている。1つは Content Scanner Tools を 25.3.0.5525 以降に更新する方法で、再起動もOSの更新も要らない。自動更新を有効にしている機器は、更新が届いた時点で対策が済む。もう1つは AsyncOS 自体の更新で、15.5系は 15.5.5-014、16.5系は 16.5.0-780 が修正版である。16.0系には修正版が無く、16.5.0-780 への移行が必要になる。回避策は用意されていない。クラウド版の Cisco Secure Email Cloud Gateway は Cisco 側で対処済みで、利用者の作業は不要としている。管理用の Secure Email and Web Manager と Web 用の Secure Web Appliance は対象外である。
リスクの全体像
Secure Email Gateway は、社外から届くメールを最初に受け取り、迷惑メールやウイルスを取り除いてから社内のメールサーバーへ渡す機器である。取引先とのやり取りがすべて通るため、ここを root 権限で乗っ取られると、メールの盗み見、転送設定の追加、社内ネットワークへの足場づくりに使われうる。
今回の脆弱性が厄介なのは、攻撃の入口が「メールを送ること」そのものである点だ。管理画面をインターネットから隠していても、メールを受け取る以上、攻撃のメールは届く。しかも、マルウェアを止めるためにファイルレピュテーションを有効にしている、つまり真面目に設定している機器ほど対象になる。
Ciscoは、root 権限を取られた後は攻撃者が痕跡を消せると注意している。また、複数台を束ねて運用している場合（クラスタ構成）、台数間の認証に使う SSH の秘密鍵を読まれ、1台の侵害から他の機器にも広がるおそれがあるとしている。
チェックリスト
- 自社または保守会社が管理する Cisco Secure Email Gateway（ESA）があるか。クラウド版か、自社設置の物理機・仮想機か
- 管理画面の「Mail Policies」→「Incoming Mail Policies」（送信側は「Outgoing Mail Policies」）→「Advanced Malware Protection」で、「Enable File Reputation」にチェックが入っているか
- CLI で contentscannerstatus を実行し、Content Scanner Tools の版が 25.3.0.5525 以降になっているか
- 「Security Services」→「Service Updates」で自動更新が有効になっているか
- CLI で grep “System Security” system_logs を実行し、「Suspected compromise indicator was found」が出ていないか。クラスタ構成なら全台で確認したか
- 機器の外側（ファイアウォールやネットワークのログ）で、この機器から見覚えのない外部 IP アドレスへのアップロードや、不審な IP アドレスからのダウンロードが無いか
打ち手
1番目は今日の更新である。Content Scanner Tools の更新は再起動不要なので、業務時間中でも実施できる。自動更新が無効なら CLI で contentscannerupdate を実行し、版が 25.3.0.5525 以降になったことを contentscannerstatus で確かめる。あわせて自動更新を有効にしておく。16.0系や15.5系より古い AsyncOS を使っている場合は、16.5.0-780 への移行計画を保守会社と決める。
2番目は侵害の確認である。上のチェックリストのログ確認で「Suspected compromise indicator was found」や「Security scan did not complete」が出た場合は、Cisco の技術サポート（TAC）に連絡する。Cisco は、侵害が疑われる仮想機について、調査用の記録を残したうえで新しい仮想機を修正版で作り直し、設定ファイルを読み込まずに設定し直すことを勧めている。先に更新してしまうと調査に必要なログが消えるため、記録の保全を先に行う。機器に登録した認証情報や証明書も入れ替える。
3番目は、機器の外からの確認である。root 権限を取られると機器のログは信用できない。ファイアウォールのログで、この機器を発信元とする通信に普段と違う宛先が無いかを見る。
メールを受け取るだけで攻撃が成立する。更新を先延ばしにする理由は無い
あわせて読みたい
- FortiMailに認証なしでファイルを書き込まれる脆弱性（CVE-2026-104286）が悪用確認、修正版の配布前に回避策を
- Cisco ISE の認証回避（CVE-2026-76460）が悪用確認 — CVSS 10.0、社内LANとVPNの接続を決める認証基盤を認証なしで乗っ取られる
- CISA KEVに悪用確認済みの脆弱性5件を追加 — Apache Struts・ProFTPD・BINDなど、修正から10年経っても更新されないサーバー
- BEC（ビジネスメール詐欺）とは？ 手口・典型シナリオ・対策・被害時対応まで完全ガイド
Omamori AI の結論
- 事実: Cisco Secure Email Gateway の CVE-2026-76519（CVSS 9.8）は、ファイルレピュテーションを有効にした機器に細工した添付ファイル付きのメールを送るだけで、root 権限でのコマンド実行に至る。Cisco が悪用を確認し、CISA は10月14日に KEV へ追加した。
- 判断軸: 自社設置の機器でファイルレピュテーションが有効か、Content Scanner Tools が 25.3.0.5525 以降か、の2点で対象かどうかが決まる。
- 打ち手: Content Scanner Tools の即日更新と自動更新の有効化、System Security ログの確認、クラスタ全台と機器の外側の通信ログの確認、侵害時は記録を保全してから作り直し。
経営者視点で考えるべきこと
メールの入口に置く機器は、導入した会社が保守を続けていることが多く、社内で版数や設定を説明できる人は少ない。今回の脆弱性は、2週間前に公表された FortiMail の件と同じく、メールセキュリティ機器そのものが攻撃の対象になった例である。守るための機器が、取引先とのやり取りすべてを見渡せる位置にあるからこそ狙われる。経営者が確認したい点は3つある。自社のメールがどの機器やサービスを通っているかを、社内の誰かが説明できるか。保守契約に、悪用が確認された脆弱性への初動の期限が書かれているか。部品の自動更新のように、手間をかけずに守れる設定が無効のまま放置されていないか。メールが盗み見られると、請求書のすり替えやなりすましの入金依頼につながり、被害は取引先にも広がる。
