Cisco Secure Email GatewayにおけるSQLインジェクション脆弱性(CVE-2026-76461)に関する注意喚起
注意喚起: Cisco Secure Email GatewayにおけるSQLインジェクションの脆弱性（CVE-2026-76461）に関する注意喚起 (公開)
JPCERT/CCは、Cisco Secure Email GatewayにおけるSQLインジェクションの脆弱性(CVE-2026-76461)について注意喚起を発表しました。この脆弱性を悪用されると、認証されていないリモート攻撃者が細工したメールを送信し、対象システム上でroot権限で任意のコマンドを実行される可能性があります。Ciscoは2026年9月にこの脆弱性の悪用を確認しており、過去には別の脆弱性(CVE-2025-20393)を悪用した侵害事案も国内で発生しています。影響を受けるバージョンは、Cisco Secure Email Gateway向けCisco AsyncOSソフトウェアの16.5系(16.5.0-780より前)、16.0系(16.0.4-302より前)、15.5系以前(15.5.5-014より前)です。対策として、修正済みバージョンへのアップグレードが推奨されていますが、回避策はありません。侵害調査においては、ログや周辺機器のログとの突合が推奨されています。
- Cisco Secure Email Gateway に SQL インジェクション脆弱性 CVE-2026-76461 が存在し、JPCERT/CC が注意喚起を発表。未認証のリモート攻撃者が細工したメールを送ることで root 権限で任意コマンドを実行される可能性がある
- 影響範囲は Cisco AsyncOS ソフトウェアの 16.5 系(16.5.0-780 より前)、16.0 系(16.0.4-302 より前)、15.5 系以前(15.5.5-014 より前)。対策は修正版へのアップグレードのみで回避策は存在しない
- Cisco は 2026 年 9 月に本脆弱性の悪用を確認しており、国内では別の脆弱性 CVE-2025-20393 を悪用した侵害事案も発生している
Cisco Secure Email Gateway の未認証リモートからの root 権限コマンド実行につながる SQLi 脆弱性で、回避策がなくアップグレード以外の対処がない点は、導入企業の即時対応コストと運用負担を直撃する。2026年9月に実際の悪用が確認され、国内では別の CVE-2025-20393 での侵害事例も出ているため、メールセキュリティ製品の脆弱性対応力そのものが選定・更新の判断材料になりつつある。大手ベンダーのゲートウェイ製品に実悪用可能な穴が継続的に生じている事実は、周辺のセキュリティ運用・監査・代替製品への需要を押し上げる材料として注視したい。