オープンソースのウェブメールソフト「Roundcube Webmail」の開発元は10月19日、セキュリティ上の欠陥20件を修正した更新版1.6.20と1.7.5を公開した。メールサーバーに不正な命令を紛れ込ませる欠陥や、送信するメールのヘッダーを書き換えられる欠陥などを直した。開発元は「1.6系と1.7系を使うすべての本番環境を更新するよう強く勧める」としている。JPCERTコーディネーションセンター（JPCERT/CC）も10月28日付の週報で「Roundcube Webmailに複数の脆弱性」として取り上げ、修正済みの版への更新を呼びかけた。
ブラウザーでメールを読み書きするサーバー用ソフト
Roundcubeは、利用者がブラウザーからメールを読み書きできるようにするサーバー用のソフトで、PHPで書かれている。メールを保管するサーバーとはIMAPという方式でやり取りする。無償で公開されており、組織が自前のメールサーバーに組み合わせて使うほか、配布元はDocker用のイメージも用意している。
現在の安定版は1.7系で、5月10日に1.7.0が出た。開発元はこの版について「4年近い開発」を経たと説明し、PHP 8.1より古い環境やInternet Explorerへの対応を打ち切った。同時に、それまでの安定版だった1.6系は「重要なセキュリティ更新だけを受ける」長期保守（LTS）の扱いに移り、1.5系は「サポートも保守も終了した」と告知した。今回の修正版が1.6系と1.7系の2本だけで、1.5系向けが出ていないのはこのためだ。配布ページは10月29日時点で、安定版を1.7.5、LTS版を1.6.20としている。
メールサーバーへの命令挿入やヘッダーの改ざん
開発元の告知とGitHubのリリースノートには、修正した20件が報告者の名前とともに並ぶ。件数が多いのは、送信するメールのヘッダーに別の項目を差し込める「ヘッダーインジェクション」で4件ある。転送時の件名、差し戻し（再送）機能の差出人表示名、返信先を示す参照用の項目、本文に埋め込んだ画像の種類指定が、それぞれ入り口になっていた。
メールサーバーへの命令の挿入は2件あった。メッセージの番号やフラグを受け取る値に改行文字を混ぜると、IMAPサーバーへ送る命令に別の命令を紛れ込ませることができた。外部の画像や部品を読み込ませないための遮断機能をすり抜ける欠陥も2件ある。1件はSVG画像のアニメーション指定、もう1件はCSSの記法を使うもので、後者について開発元は「再び」と書き添えている。以前に直した手口が別の書き方で通っていたことになる。
このほか、サーバーの内部に向けた通信を防ぐ仕組みをIPv6の変換用アドレスですり抜ける欠陥、添付画像を縮小する際に安全でない内容を画像処理ソフト「ImageMagick」に渡してしまう欠陥、セッション情報の読み込みでオブジェクトを差し込まれる欠陥を直した。パスワード変更機能の一部では、他人のアカウントのパスワードを変えられるものもあった。迷惑メール指定の操作で、なりすまし要求を防ぐ確認（CSRF対策）が外れていた欠陥、パスワード変更の失敗時の応答に不正なスクリプトを埋め込めるクロスサイトスクリプティング（XSS）も含まれる。
告知にはCVE番号や深刻度の点数は書かれておらず、悪用の有無にも触れていない。
1.7.0以降、安全更新はほぼ月1回
開発元のニュース一覧によると、2026年に入ってセキュリティ更新を出したのは今回で7回目になる。3月18日と3月29日は1.6系と1.5系の更新に1.7の公開前の候補版を合わせたもので、1.7.0の公開後は5月24日、7月5日、8月9日、9月6日、10月19日と、ほぼ月1回の間隔で1.6系と1.7系の修正版が出ている。1.7.1から1.7.5までの5本は、いずれもセキュリティ更新として公開された。
表: Roundcubeのセキュリティ更新（2026年）
| 公開日 | 修正版 |
|---|---|
| 3月18日 | 1.6.14、1.5.14（候補版1.7-rc5） |
| 3月29日 | 1.6.15、1.5.15（候補版1.7-rc6） |
| 5月24日 | 1.6.16、1.7.1 |
| 7月5日 | 1.6.17、1.7.2 |
| 8月9日 | 1.6.18、1.7.3 |
| 9月6日 | 1.6.19、1.7.4 |
| 10月19日 | 1.6.20、1.7.5 |
利用者の側から見ると、1か月ほどで次の修正版が出る状態が続いている。1.5系から1.7系へ移る場合はPHPの版の条件が変わるため、サーバー側の環境も合わせて見直すことになる。
米政府の目録に11件、7件はXSS
Roundcubeでは、これまでにも実際の攻撃に使われた欠陥がある。米サイバーセキュリティ・インフラ安全保障庁（CISA）が公開する「悪用が確認された脆弱性」の目録（10月28日付の版）には、Roundcube Webmailの欠陥が11件登録されている。最初の登録は2021年11月3日で、最も新しいのは2026年2月20日に加わった2件だ。この2件は、信頼できないデータの読み込み（CVE-2025-49113）とXSS（CVE-2025-68461）だった。
11件のうち7件はXSSで、残りは任意のプログラムの実行、SQLインジェクション、ファイルの読み出し、信頼できないデータの読み込みが1件ずつになる。XSSは、細工したメールを開かせるだけで攻撃者のスクリプトが利用者のブラウザーで動くもので、メールの盗み見や設定の書き換えにつながる。ウェブメールは外部から届いたメールを表示することが本来の役割のため、受信したメールが攻撃の入り口になりやすい。今回の修正でも、外部画像の遮断のすり抜けやCSSの適用範囲の制限のすり抜けなど、受信メールの表示にかかわる欠陥が複数直された。
国内向けには、JPCERT/CCの週報が更新を知らせている。10月28日付の号はRoundcubeを含む13件の製品の脆弱性情報を載せ、GitLabやApache Tomcat、PHPの枠組み「Laravel」などオープンソースのソフトも並んだ。オープンソースのソフトの修正では、同じ週に社内wiki「GROWI」に欠陥3件 閲覧権限のないページを読まれるおそれ v8.0.7で修正も公表されている。CISAの目録への登録が持つ意味は、F5の通信制御機器に認証なしで遠隔操作される欠陥 すでに悪用 JPCERT/CC「国内で広く利用」 深刻度は10点満点の9.8で取り上げた。
利用者は1.6.20か1.7.5へ
対策は修正版への更新になる。1.7系を使っている場合は1.7.5、1.6系の場合は1.6.20が対象だ。開発元はリリースノートで、更新の前にデータのバックアップを取るよう求めている。1.7.5の変更履歴には、セキュリティ以外の修正も5件載っている。設定用の導入画面（インストーラー）のセッションを消せるようにしたほか、メール暗号化の追加機能「Enigma」で鍵の保管ファイルが復元されない不具合、迷惑メール指定やパスワード変更の追加機能の処理、稼働確認用スクリプトの終了コードを直した。1.5系以前の版には今回の修正版が提供されておらず、使い続けている場合は1.6系か1.7系への移行が必要になる。
Roundcubeを自前で動かしていない利用者でも、勤務先や契約しているホスティング事業者のウェブメールがRoundcubeで動いている場合がある。その場合の更新は管理者や事業者が行う。開発元は個別の利用状況を公表しておらず、国内でどれだけの環境が対象になるかは確認できていない。