Roundcube の 12件の脆弱性が FIX：ゼロクリック XSS や SSRF などの問題に対処

Roundcube Fixes 12 Security Flaws Including Zero-Click XSS and SSRF Bypass

2026/09/07 gbhackers — Roundcube は、1.6 LTS／1.7系に影響する 12 件の脆弱性に関する情報を公表し、それらに対処するセキュリティ・アップデート 1.6.19／1.7.4 をリリースした。2026年9月6日に公開されたアップデートでは、HTML メールのレンダリング／CSS サニタイズ／添付ファイル処理／アドレス帳機能／URL 検証ロジックに存在する脆弱性が修正されている。具体的には、クロスサイト・スクリプティング (XSS)／リモート・コンテンツ・フィルタリングのバイパス／メールヘッダ・インジェクション／クロスユーザー・コンテンツ・アクセス／サーバサイド・リクエスト・フォージェリー (SSRF) などの脆弱性が修正されている。

Roundcube 1.6.x／1.7.x を本番環境で運用している管理者には、これらの脆弱性によるリスクを低減するため、可能な限り早急に 1.6.19／1.7.4 へアップグレードすることが推奨される。

Roundcube が修正した主な脆弱性

特に重要なのは、添付ファイル URL への TNEF MIME タグの注入に関連するゼロクリックの蓄積型 XSS の脆弱性である。蓄積型 XSS の脆弱性が Web メール・アプリケーションで特に問題となるのは、悪意のあるコンテンツがメールボックス内に永続的に残り、細工されたメールが処理された際にトリガーされる可能性があるためだ。

また、この脆弱性はゼロクリックでの悪用が可能であり、受信者による悪意のあるリンクのクリックや添付ファイルのダウンロードを必要としないため、リスクが高い。この問題を報告したのはセキュリティ研究者 Nakko である。

Roundcube は、text/enriched MIME パート・コンテンツを処理する HTML エディターに存在する XSS 脆弱性も修正している。これら 2 件の脆弱性により、セッションの窃取／Web メール環境での悪意のあるスクリプト実行／認証済みアカウントを悪用した未認可の操作が行われる可能性がある。この問題を報告したのは Joshua Rogers である。

今回のパッチでは、CSS 処理／リモート・コンテンツ保護に影響する複数の問題も対処されている。Roundcube は、エンコードされていないアンパサンドの出力に起因する CSS 宣言のスマグリングを修正した。この問題を報告したのは Horizon3.ai の Zach Hanley である。

また、HTML 本文の背景属性を介した CSS プロパティ・インジェクションの脆弱性も修正され、is_local_url() 関数に存在するスタイルシート URL のバリデーション回避も対処されている。

この脆弱性では、末尾にドットが付いた完全修飾ドメイン名 (FQDN) によるローカル URL チェックの回避が可能になる。この問題を報告したのは研究者 Nept1337 である。さらに、FuncIRI 属性内の CSS エスケープ／SVG SMIL の src アニメーションを介したリモート・コンテンツ・ブロッカーのバイパスも防止されている。

Web メール・クライアントにおけるリモート・コンテンツ・フィルタリングが重要なのは、攻撃者が制御するリモート・リソースによって、メールが開かれた時点の追跡／受信者の IP アドレスの特定／標的型フィッシング活動の実行につながる可能性があるためだ。

Roundcube は、16 進数表記の IPv6 マップ IPv4 アドレスに関連する CSS プロキシの SSRF バイパスも修正した。細工されたアドレスによってサーバサイド・リクエストを制限するフィルタリング制御が回避される可能性がある。この問題を報告したのは Faceless0x7／Harish Annavisamy である。

SSRF の脆弱性は、ホスティング環境／エンタープライズ環境で深刻なリスクを引き起こす可能性がある。攻撃者は、これを悪用して内部サービス／クラウド・メタデータ・エンドポイントなど、アクセスが制限されたネットワーク・リソースへのアクセスを試みる可能性がある。

さらに、3 件のメールヘッダ・インジェクションの脆弱性も修正された。これらは、メールの件名フィールド内のベア・キャリッジ・リターン／受信者の表示名内の C エスケープ \r シーケンス／ユーザー・アイデンティティー内の組織フィールドに関連するものだ。件名フィールドの問題を報告したのは CVE-Hunter-Leo、受信者名／組織フィールドの問題を報告したのは Dogeshark である。

今回のアップデートでは、SQL アドレス帳の連絡先グループ・メンバーシップ操作に存在するクロスユーザー・コンテンツ・アクセスの脆弱性も対処されている。この脆弱性を悪用する攻撃者は、ユーザー境界を越えて連絡先グループのメンバーに対する未認可の操作が可能になるため、共有された Roundcube 環境におけるプライバシー／完全性の問題につながる恐れがある。

Roundcube がすべてのユーザー組織に推奨しているのは、本番環境のバージョンを 1.6.19／1.7.4 へアップデートすることである。ベンダーのセキュリティ・アップデートに関する発表には、修正内容の全リスト／報告した研究者への謝辞が掲載されている。

Web メールシステムである Roundcube の旧バージョンにおいて、レンダリングや入力検証の不備に起因する 12 件の不具合が公表されました。悪意あるメールを受信するだけでスクリプトを実行されるゼロクリック型 XSS や、制限された内部リソースへアクセスされる SSRF などの深刻な影響が存在します。セッション情報奪取／任意コード実行／非公開情報閲覧／組織内ネットワーク侵害といったリスクが生じるため、迅速な対処が求められます。最新版の 1.6.19 または 1.7.4 へのアップグレード運用が推奨されます。