Ciscoは再び顧客に対して迅速な対応を求めている。同社はSecure Email Gateway（SEG）における別の重大なroot権限レベルの脆弱性についてパッチ適用を「強く」促しており、この脆弱性はすでに正体不明の攻撃者によるゼロデイ攻撃で悪用されている。Ciscoの広報担当者の話を引用したThe Registerによると、CiscoとCISAの双方が警鐘を鳴らしている。これらのアプライアンスを経由してメールをルーティングしている組織にとって、このCisco Secure Email Gatewayのゼロデイ脆弱性は、次のメンテナンスウィンドウまで待つのではなく、今日対処すべき問題である。

情報源の報道は簡潔であるため、本記事は確認された事実のみに留める。すなわち、この脆弱性は重大であり、root権限レベルの制御を可能にし、修正プログラムが存在する前に悪用されており、攻撃者は特定されていない。

メールゲートウェイにとって「Make-Me-Root」が意味するもの

「Make-me-root」とは、攻撃者がLinuxベースシステム上の最高権限であるrootを取得できるようにする脆弱性の略称である。rootアクセスとは、攻撃者が単一のアプリケーションやアカウントに限定されなくなることを意味する。通常、ファイルの読み取りと変更、設定の変更、永続的なツールのインストール、アプライアンスが実行するソフトウェアの改ざんが可能になる。

一般的なワークステーションであれば、これは深刻である。セキュリティアプライアンス上ではさらに悪い。なぜなら、そのデバイスは設計上信頼されているからである。ネットワーク内の他のシステムは、ゲートウェイがその役割を果たしていると前提しているため、侵害されたゲートウェイは、本来提供すべき保護そのものを静かに損なう可能性がある。

なぜメールゲートウェイが標的として価値が高いのか

Secure Email Gatewayは、受信メールと送信メールの経路上に位置する。企業はこれを使用して、メッセージが従業員に届く前にスパム、フィッシング、マルウェアをフィルタリングする。この立場がいくつかの理由から攻撃者にとって魅力的である：

  • メールフローへの可視性。 メッセージを検査するデバイスは、機密コンテンツ、添付ファイル、誰が誰と通信しているかに関するメタデータを扱う可能性がある。
  • インターネットへの露出。 ゲートウェイは外部からの接続を受け入れる必要があり、攻撃者に探索の場を与える。
  • 限定的な監視。 アプライアンスは、ラップトップやサーバーを保護するエンドポイント検出ツールを実行していないことが多く、侵害が見逃される可能性がある。
  • 信頼されたネットワーク上の位置。 ゲートウェイへの足がかりは、内部システムへの足がかりとなり得る。

Ciscoのメールゲートウェイが注目されるのは今回が初めてではない。以前のroot権限アクセスゲートウェイ脆弱性に対するCiscoの緊急パッチおよび積極的に悪用されているメールゲートウェイのゼロデイ警告に関する報道は、同じ製品ラインにおける深刻な問題のパターンを示している。攻撃者は他のベンダーのメールセキュリティツールも標的にしており、実際の攻撃で悪用されたFortiMailのゼロデイ脆弱性に見られるように、このカテゴリー全体が注目を集めていることがうかがえる。

CiscoとCISAが顧客に伝えていること

CiscoとCISAの双方からのメッセージは一貫している：パッチを適用せよ。Ciscoの文言は、顧客にアップデートを「強く」促すというものであり、CISAの関与は、この脆弱性が公共部門のネットワークを含む組織にとって現実のリスクと見なされていることを示している。悪用がすでに発生しているため、これは四半期レビューまで待てる理論上のリスクではない。

情報源は、影響を受ける顧客の数や攻撃者の正体については述べておらず、我々も推測はしない。明らかなのは、正体不明の攻撃者が先行していたということであり、これは組織がパッチ適用をプロセスの終わりではなく第一歩として扱うべきことを意味する。

パッチ状況の確認方法とメール露出の可能性の発見方法

Cisco SEGアプライアンス（物理または仮想）を管理している場合、短いチェックリストに従って作業を進めてほしい：

  1. バージョンを確認する。 実行中のソフトウェアをCiscoの公式アドバイザリに記載された修正済みリリースと比較する。
  2. アップデートを適用する。 インターネットに面しているゲートウェイを優先する。
  3. CISA KEVカタログを確認する。 CISAのKnown Exploited Vulnerabilitiesリストは修復の期待値を定めており、連邦機関でなくても有用な参照先である。
  4. アクセスを見直す。 アプライアンスの管理インターフェースに到達できる人を確認し、信頼されたネットワークに限定する。
  5. 侵害の兆候を探す。 予期しないログイン、設定変更、新規アカウント、異常な送信接続がないかログを確認する。何かおかしいと感じた場合は、インシデント対応計画に従い、Ciscoサポートに連絡する。
  6. メール露出を検討する。 ゲートウェイが侵害された可能性がある場合、それを通過したメッセージが閲覧された可能性を想定し、どのような機密情報が関与し得るかを評価する。

同じ製品ファミリーに対する以前のキャンペーンの背景については、CVE-2025-20393と攻撃を受けているCiscoメールゲートウェイのゼロデイ脆弱性に関するレポートを参照されたい。

これがあなたにとって意味すること

Cisco SEGを使用している組織のITまたはセキュリティを管理している場合、取るべき行動は明確である：今すぐパッチレベルを確認し、アプライアンスに改ざんの兆候がないか見直す。そのような組織の従業員または顧客である場合、自分でパッチを適用することはできないが、警戒を続けることはできる。信頼できる連絡先から来たように見える場合でも、予期しないメッセージには注意し、ゲートウェイの侵害がメッセージ内容を露出させる可能性があるため、メールで送信する内容に留意する。

これらのアプライアンスを運用していない個人は、この特定の脆弱性の直接的な影響を受けない。それでも、これはメールがデフォルトではほとんどプライベートではないこと、そしてそれを運ぶインフラストラクチャが機能しなくなる可能性があることのリマインダーである。

主なポイント

  • このCisco Secure Email Gatewayのゼロデイ脆弱性は重大であり、root権限レベルの制御を可能にし、すでに悪用されている。
  • CiscoとCISAの双方が即時のパッチ適用を促している。
  • まずパッチを適用し、その後調査する：ログ、アクセス制御、設定に侵害の兆候がないか確認する。
  • 権威ある詳細については、CISA KEVカタログとCiscoのアドバイザリを確認する。
  • この製品ラインにおける繰り返しの脆弱性がどのように展開してきたかの背景については、上記でリンクした以前の報道を参照されたい。

組織がCisco SEGに依存している場合、今日パッチ状況を確認し、CISAのガイダンスが何を求めているかを確認されたい。