【脆弱性】Roundcubeに複数の脆弱性、修正版を公開

ウェブメールソフトウェア「Roundcube Webmail」で複数の脆弱性が明らかになった。開発チームは現地時間2026年11月9日、セキュリティアップデートとして「1.7.6」と「1.6.21」を公開し、更新を強く推奨している。

今回の更新では17件の修正が行われた。アドバイザリでは、個別の脆弱性を識別するCVE番号には触れていない。

修正された問題には、添付ファイルを取得する際に発生したIMAPエラーからの回復処理で、意図しない転送が生じるものがある。また、メッセージキャッシュを有効にした環境では、パラメータに改行コードを含めることでIMAPコマンドを注入できる問題もあった。

CSSプロキシやサーバサイドリクエストフォージェリ（SSRF）への対策を回避できる複数の問題にも対応した。特定のドメイン名やIPv6アドレスを使い、接続先の検証を回避できる問題が解消されたとしている。

メールのフィルタリングに使うSieveでは、ルールの演算子や修飾子を通じてスクリプトを注入できる問題を修正した。ルール管理機能のManageSieveでも、外部サイトを経由したGETリクエストにより、一部の破壊的な操作が引き起こされる問題が判明している。

MARBLEの対応例：この件の場合

MARBLEでは、Roundcube Webmailの利用状況とバージョンをまず確認する。

関係するサービス

※金額は一例です。システムの構成や規模、作業の範囲によって変わります。

Security NEXT「「Roundcube」に複数の脆弱性 - 更新を強く推奨」（2026年11月10日）

この記事は、上の出典をもとに当社がまとめ直したものです（生成AIで下書きし、担当者が確認しています）。詳しい内容や最新の状況は、出典をご確認ください。