ニュース
Cisco Secure Email Gatewayに深刻な脆弱性、修正済みソフトウェアへの更新を
すでに悪用を確認、CISAも「重大なリスク」と評価
2026年9月15日 16:41
Ciscoのメールセキュリティソリューション「Cisco Secure Email Gateway」にSQLインジェクションの脆弱性があるとして、JPCERT/CCが緊急情報を発表した。Ciscoでも情報を発表し、修正済みのソフトウェアへの更新を呼び掛けている。
当該の脆弱性はCVE-2026-76461で、CVSS v.3.1のスコアは9.8。認証されていないリモートの攻撃者が悪意のあるSQL文を含む細工したメールを送信し、脆弱性のある対象システムでメールを受け取ると、対象システム上でroot権限により任意のコマンドを実行される可能性がある。
Ciscoは、2026年9月に本脆弱性の悪用を確認しているという。CISA（米国サイバーセキュリティ・インフラストラクチャセキュリティ庁）でも、実際に悪用された脆弱性をまとめた「KEVカタログ」に登録するとともに、「この種の脆弱性は、悪意のあるサイバー攻撃者が頻繁に利用する攻撃経路であり、連邦政府機関にとって重大なリスクとなる」とコメントしている。
対象となるのは、Cisco Secure Email Gateway向けCisco AsyncOSソフトウェアのうち、次のバージョン。
- 16.5系：16.5.0-780より前のバージョン
- 16.0系：16.0.4-302より前のバージョン
- 15.5系以前：15.5.5-014より前のバージョン
Ciscoではそれぞれの修正済みソフトウェアを公開しており、16.5.0-780への移行を強く推奨している。