米当局、「Cisco Secure Email Gateway」の脆弱性悪用を警告

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、「Cisco Secure Email Gateway」の脆弱性が実際の攻撃で悪用されているとして注意を呼びかけた。

現地時間2026年9月14日、SQLインジェクションの脆弱性「CVE-2026-76461」を「悪用が確認された脆弱性カタログ（KEV）」へ追加したもの。認証を必要とせず、リモートより攻撃を受けるおそれがある。

「Cisco Secure Email Gateway」は、メールの送受信を保護するセキュリティ製品。同製品で稼働する「Cisco AsyncOS」のメール解析処理において入力値の検証が不十分で、細工したメールを送信することで悪用される可能性がある。

攻撃に成功した場合、悪意あるSQLを実行でき、基盤となるOS上で「root」権限により任意のコマンドを実行されるおそれがある。

Cisco Systemsは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」、重要度を「クリティカル（Critical）」と評価。悪用が確認されていることを明らかにするとともに、修正版を提供している。

同問題を受けて同庁は、米行政機関に対して9月17日までに対策を講じるよう求めた。アップデートだけでなく、侵害調査などの対象にも指定されている。脆弱性は広く悪用されるおそれがあり、同製品の利用組織も警戒が必要となる。

（Security NEXT - 2026/09/15 ）ツイート