シスコのメールゲートウェイ、1通の攻撃メールで3度目の乗っ取り セキュリティ購入意向は57%から47%に低下
1月以降、シスコのセキュア・メール・ゲートウェイ(Secure Email Gateway)は、細工したメール1通でroot権限を奪われることが3度に及んだ。最新の脆弱性が判明したのと同じ週、モルガン・スタンレーのCIO調査で、シスコのセキュリティ製品への購入意向が10ポイント低下した。過去最高の173億ドルを売り上げた7月締め四半期を支えたのはネットワーク事業で、セキュリティは14%増だった。
Vincent Jiang · 3 min read
1通のメールで、またもroot権限を奪われる
シスコ−2.56% — シスコ, down 2.56 percent todayの「セキュア・メール・ゲートウェイ」は、悪質なメールを社内の受信箱に届く前にふるいにかけるアプライアンス(専用機器)だ。だがその装置は、自らが食い止めるはずの敵に乗っ取られうる。最新の脆弱性は、業界共通の脆弱性番号で「CVE-2026-76519」。深刻度評価は10点満点で9.8と高い。未認証の攻撃者が細工した添付ファイルを1通送りつけるだけで、ファイルの書き込みやroot権限でのコマンド実行、つまり装置の完全掌握が可能になる13。
回避策はない13。米サイバーセキュリティ・インフラ安全保障局(CISA)は10月14日、この脆弱性を悪用が確認された脆弱性カタログに追加し、連邦政府機関に10月17日までの対応を課した4。シスコは「影響を受けた顧客は限定的」としており、侵害された装置の台数については語っていない1。同じ週、カネのシグナルも届いた。モルガン・スタンレー−0.77% — モルガン・スタンレー, down 0.77 percent todayのCIO調査で、シスコのセキュリティ製品を買う意向が1四半期で57%から47%に下がったのだ2。
3つの脆弱性、10カ月、10ポイント
メール1通でroot権限を奪える脆弱性が、この1つの製品ラインを10カ月で3回襲った。1月の「CVE-2025-20393」は深刻度満点の10。攻撃の足場を残す「永続化」のために悪用され、中国系とみられるグループがバックドアを仕掛け、ログを消去した。攻撃は2025年11月から続いていた167。9月のCVE-2026-76461(メール解析機能へのSQLインジェクション)も、やはりroot権限でのコマンド実行に至った7。
アナリストのメタ−4.28% — メタ, down 4.28 percent today・マーシャル氏は、支出意向こそ鈍ったもののセキュリティは依然として最も支出意欲の強い分野で、シスコもCIOがネットワークで最有力とみるベンダーの座を守ったと指摘する2。冷え込みは広範に及んだ。ネットワークセキュリティへの支出意向は+85%から+70%へ鈍り、ベンダー全体への純ベースの支出意向は+57%から+28%へ落ち込んだ2。
シスコのセキュリティ購入意向は1四半期で10ポイント低下、キャンパス更新とスプランク評価は上昇
- 2026年第2四半期調査
- 2026年第3四半期調査
Data
| 2026年第2四半期調査 | 2026年第3四半期調査 | Change | |
|---|---|---|---|
| ネットワークセキュリティ支出 | 85% | 70% | -17.6% |
| シスコ継続意向 | 68% | 63% | -7.4% |
| ベンダー支出(純) | 57% | 28% | -50.9% |
| シスコセキュリティ購入意向 | 57% | 47% | -17.5% |
| データセンター支出 | 55% | 37% | -32.7% |
| キャンパス更新 | 33% | 36% | +9.1% |
| スプランク評価(非顧客) | 24% | 31% | +29.2% |
修正は警鐘の1カ月前から出ていた
10月の脆弱性への修正は、9月14日付で別の識別番号「CVE-2026-76440」のもとですでに提供されていた。シスコは10月14日にアドバイザリーを更新し、実際の攻撃での悪用を公表した5。発見したのはシスコ自身の内部セキュリティスキャンだった3。
買い手はすでにやり繰いの限界に近かった。プロジェクトの遅延を報告した割合は1四半期で2%から13%へ急増。CIOの83%が機器価格の1〜10%の値上げを報告し、40%はさらなる値上げがあれば購入を延期すると答えた2。
過去最高の四半期がつまずきを埋める
不安を相殺するもう一つの重りは本物だ。シスコの7月締め四半期(会計上は第4四半期)は売上高が173億ドルと過去最高を記録し、前年同期比18%増となった。セキュリティ売上高は、シスコが買収したデータプラットフォーム、スプランクの好調さに支えられて14%増えた8。2027会計年度は、セキュリティとオブザーバビリティー(observability)の成長が低い1桁台から高い1桁台へ加速するというのが経営陣の見通しだ8。
強気シナリオにも調査の裏付けはある。スプランクの非顧客の31%がシスコの提供価値への見方を改善したと答え、前回の24%から上昇した2。CSCOの保有者はセキュリティ成長のプレミアムを担っている。契約更新の場では競合のセキュリティベンダーが利する可能性がある。調査はその隙間も示す。シスコの継続意向は68%から63%へ軟化した2。3つの脆弱性を実際の更新と結びつける情報源はなく、購買意向の10ポイント減が売上高にまで波及するかどうかは、まだ検証されていない。
もう一つの重り:シスコの売上高、7月締め四半期は過去最高の173億ドル・前年同期比18%増
Data
| 売上高 | |
|---|---|
| 24年Q3 | $13.84B |
| 24年Q4 | $13.99B |
| 25年Q1 | $14.15B |
| 25年Q2 | $14.67B |
| 25年Q3 | $14.88B |
| 25年Q4 | $15.35B |
| 26年Q1 | $15.84B |
| 26年Q2 | $17.25B |
注目はパッチでなく被害報告
10月17日(土)の対応期限が過ぎても、カタログではこの脆弱性がランサムウェアに悪用されたかどうかは「不明」のままだ。それだけに、この先目を向けるべきはパッチではなく被害報告である4。セキュリティ監視団体Shadowserverの集計では、インターネット上に露出したままのゲートウェイ機器は300台近くに上る6。モルガン・スタンレーは「オーバーウェイト」(買い相当)評価を維持し、目標株価は135ドルとしている2。購買意向の10ポイント減が単なるノイズなのか、それとも契約更新サイクルが変わり始めた兆しなのか。その答えは、次回のCIO調査と次のシスコの決算発表が示すはずだ。
Deepdive
AI-generated from this story and its cited sources. Not investment advice.
