Cisco SEGの脆弱性CVE-2026-76519｜悪用確認、対象と修正版

メールの添付ファイルを処理するAMP（Advanced Malware Protection）のFile Reputation機能に不備があり、認証のない攻撃者が細工した添付ファイルを対象機器へ通すことで、OS上の任意のファイルを書き込めるおそれがあります。攻撃が成功すると、OSの管理権限であるrootでコマンドを実行される可能性もあります。[1]

CiscoはCVSS 3.1の基本値を9.8（緊急）と評価しています。CVE記録の採番者Ciscoも同じ9.8です。攻撃にはネットワークからの到達が必要で、攻撃者の認証や利用者の操作は不要と評価されています。[2]

対象は、脆弱なAsyncOSを動かすCisco Secure Email Gatewayの物理機器・仮想機器で、次の2条件を両方満たす環境です。[1]

• AMPのFile Reputationを有効にし、メールポリシーへ割り当てている。
• Content Scanner Toolsが25.3.0.5525より前である。

CiscoはSecure Email and Web ManagerとSecure Web Applianceを対象外としています。Cisco Secure Email Cloud Gatewayには修正済みContent Scanner Toolsを配備しており、この修正を利用者が適用する操作は不要です。[1]

Cisco PSIRTは2026年10月に、この脆弱性の実際の悪用を把握したと公表しています。[1]

CVE記録にあるCISA ADP追記には、2026年10月14日にKEVへ追加したと記載されています。KEVは、実際に悪用された脆弱性を米CISAがまとめた一覧です。[2]

攻撃の入力は対象機器を通るメールの添付ファイルです。受信・送信のどのメールポリシーにFile Reputationを割り当てているか、各機器の設定を確かめます。管理画面の公開状況だけでは、添付ファイルを処理する経路を判断できません。[1]

Ciscoは機器の保護策として、メール処理と管理機能を別のネットワークインターフェースに分け、管理通信をファイアウォールで信頼できる接続元へ制限することを推奨しています。[1]

侵害の確認では、各機器のsystem_logsにあるSystem Securityメッセージを調べます。Ciscoが示す確認コマンドは次のとおりです。[1]

grep "System Security" system_logs

「Suspected compromise indicator was found」があれば、侵害を検出した場合の推奨手順に従います。「Security scan did not complete」はスキャン未完了のためCisco TACへ連絡します。「No compromise indicator was found」は痕跡が検出されなかった結果で、対象のソフトウェアには修正を適用します。[1]

攻撃者はroot権限で痕跡を消したり隠したりできるため、Ciscoは機器外のネットワークやファイアウォールのログも照合するよう強く推奨しています。機器から外部IPアドレスへの予期しないアップロードや、悪意あるIPアドレスからのダウンロードなどを調べます。[1]

侵害が疑われる物理機器はCisco TACへ連絡します。仮想機器では、更新すると調査用データやログが失われるため、先に証拠を保全します。その後、修正済みの新しい仮想機器を用意し、以前の設定ファイルをインポートせず設定を再構築し、認証情報と暗号鍵などを更新して監視を続けることをCiscoが推奨しています。[1]

クラスタでは機器間認証用のSSH秘密鍵を取得される可能性があります。1台でも侵害されたクラスタは、各メンバーを安全な構成に戻すことが推奨されています。クラウドでも、Ciscoから侵害の可能性を個別に連絡された利用者は、認証情報や暗号鍵などの更新を進めます。[1]

AsyncOSの最初の修正版は、15.5系列が15.5.5-014、16.5系列が16.5.0-780です。16.0系列は修正済みリリースへの移行が案内されています。Ciscoは16.5より前の環境に16.5.0-780への移行を強く推奨しています。[1]

同じ修正は、ライセンスがありサポート中のAsyncOSへContent Scanner Toolsの更新としても配布されています。Content Scanner Tools 25.3.0.5525以降に修正が含まれます。[1]

CVE記録のaffected欄は、13.0.0-392などの旧リリースを含む個別バージョンを列挙し、それ以外の扱いをunknownとしています。一方、提供元告知の修正版表は15.5・16.0・16.5系列を示しています。表に無い旧リリースを対象外とせず、現在のAsyncOS、設定、Content Scanner Toolsのバージョンを保守担当へ伝えて確認します。[2]

File Reputationの設定はWeb管理画面で、ツールのバージョンはCLIで確認できます。Ciscoの告知が示す順序で、更新後の反映まで確かめます。[1]

1. Web管理画面で「Mail Policies」から「Incoming Mail Policies」または「Outgoing Mail Policies」の「Advanced Malware Protection」を開きます。メールポリシーを選び、「Enable File Reputation」のチェックを確認します。
2. CLIでcontentscannerstatusを実行し、Content Scanner Toolsのバージョンを記録します。
3. 侵害が疑われる場合は、前節の証拠保全と復旧を先に進めます。通常の更新では、自動更新が無効ならcontentscannerupdateを実行します。
4. 更新後にcontentscannerstatusを再実行し、25.3.0.5525以降になったことを確認します。

Content Scanner Toolsの更新にはAsyncOSの更新や機器の再起動が要りません。自動更新が有効で、修正の適用まで完了している場合は追加の更新操作は不要です。[1]

自動更新を有効にする場合は「Security Services」→「Service Updates」→「Edit Update Settings」で「Automatic Updates」を選び、「Submit」を押します。その後、右上の「Commit Changes」を選び、もう一度「Commit Changes」で確定します。[1]

Ciscoは、この脆弱性を解消する回避策は無いとしています。AsyncOSの更新日程を調整する場合も、再起動不要のContent Scanner Tools更新を適用できるか確認します。侵害が疑われる場合は、更新だけで作業を終えず、Ciscoが示す証拠保全と復旧を進めます。[1]