Roundcube の複数の脆弱性が FIX：深刻な RCE／SSRF／XSS などの問題に対処

Roundcube 1.6.18 and 1.7.3 Released With Fix for RCE and SSRF Vulnerabilities

2026/08/17 CyberSecurityNews — Roundcube は、同ソフトウェアに影響を及ぼす、11件のセキュリティ脆弱性に対処するバージョン 1.6.18／1.7.3 をリリースした。このアップデートでは、リモート・コード実行 (RCE) の脆弱性／サーバーサイド・リクエスト・フォージェリ (SSRF)／インジェクション脆弱性／蓄積型クロスサイト・スクリプティング (XSS) などの問題が修正されている。

Roundcube 1.6.x／1.7.x を使用する管理者に求められるのは、可能な限り早期にアップデートすることである。最も深刻な問題は、”markasjunk” プラグインに存在するリモート・コード実行 (RCE) 脆弱性であり、メッセージをスパム学習用バックエンドへ送信するために使用される同プラグインの “cmd_learn” ドライバーが影響を受ける。

この問題を報告したのは、セキュリティ研究者の nept1337 である。この脆弱性を悪用する攻撃者は、影響を受ける Roundcube 環境内でコマンドを実行する可能性があり、Web メール・サーバーに直接的なリスクをもたらすだけでなく、そこから到達可能な他のシステムにも影響を及ぼす可能性がある。

Roundcube は、電子メール・サービス向けのブラウザ上のインターフェイスとして広く利用されており、電子メール・コンテンツの処理／IMAP サーバーへの接続／LDAP ディレクトリ／Sieve フィルター／スパム管理ツールとの統合に使用されている。そのため、このインターフェイスが侵害されると、組織のメッセージング・インフラへの有効な侵入口になる可能性がある。

Roundcube 1.6.18／1.7.3 が修正版としてリリース

Roundcube に存在する RCE 脆弱性を悪用する攻撃者が、メール・データの窃取／永続化の確立／内部サービスへの侵入拡大を引き起こす可能性がある。今回のリリースでは、Roundcube のローカル URL 検証ロジックに存在する SSRF フィルター回避の脆弱性も修正されている。

SSRF とは、アプリケーションから選択した場所へ向けてリクエストを送信させる攻撃であり、外部からアクセスできない内部サービスが侵害される場合もある。ある回避手法では、”100.64.0.0/10″／”fe80::/10″ などの特殊なローカル・アドレス範囲が利用されていた。別の手法では、細工した “nip.io”／”sslip.io” のホスト名を使用することで、”is_local_url()” チェックの回避が可能になっていた。これらの問題を報告したのは、Dmytro Ivanenko／Milan Hoppe である。

この脆弱性を悪用する攻撃者が、内部管理ページ／クラウド・メタデータ・エンドポイント／プライベート・ネットワーク・インターフェイス上で動作するサービスに対して、SSRF リクエストを送信する可能性がある。影響の程度は、ネットワーク設計とアウトバウンド・アクセス制御に左右されるため、内部ネットワークへの広範な接続性を持つ Web メール・サーバーにおいては、そのリスクが顕著になる可能性がある。

バージョン 1.6.18／1.7.3 に含まれる他の修正として挙げられるのは、LDAP フィルター・インジェクションの欠陥／任意の Sieve スクリプト・インジェクション／IMAP コマンド・インジェクション／”アドレス帳に追加” アクションに存在する蓄積型 XSS／HTML／CSS の無害化処理の回避などである。さらには、ユーザーが制御するホストに認証トークンが露出する可能性がある、パスワード・ドライバーの問題も修正された。これらの広範な問題を報告した研究者には、Horizon3.ai の Zach Hanley／pwn.ai の Paulos Yibelo／vectrain／meifukun が含まれる。

影響を受けるバージョンは、1.6.18 未満の Roundcube 1.6.x および 1.7.3 未満の Roundcube 1.7.x である。Roundcube はアドバイザリで実環境における悪用については報告していないものの、修正されたバグの範囲と深刻度を踏まえると、迅速なアップデートが重要となる。

管理者に求められるのは、使用中のリリース・ブランチに応じて Roundcube 1.6.18 または 1.7.3 へアップグレードし、”markasjunk” プラグインの必要性を確認したうえで、使用していない場合には無効化することである。さらに組織は、Roundcube ホストからのアウトバウンド接続を制限するとともに、機密性の高い内部サービスへのアクセスを制限することで、SSRF リスクを低減できる。

Web メール・インターフェイスとして親しまれる Roundcube において、悪意あるコードの実行や内部ネットワークへの不当なアクセスを許すセキュリティ問題が発見されました。メッセージ処理やプラグイン連携の不備に起因し、認証情報の漏洩／メールデータの無断閲覧／システム基盤への侵害拡大といった深刻な影響を引き起こす恐れがあります。安全性を保持するため、最新版の 1.6.18 または 1.7.3 へのアップデート実施／不要なプラグインの停止／アウトバウンド通信制限の設定変更が強く求められます。