Roundcubeが1.6.19と1.7.4を公開、12件の脆弱性を修正 — ゼロクリックのXSSやSSRF回避に対処

オープンソースのWebメールソフト「Roundcube Webmail」の開発プロジェクトは2026年9月6日、セキュリティ更新の1.6.19（1.6 LTS向け）と1.7.4（1.7向け）を公開した。両バージョンには、外部の研究者から報告されていた12件の脆弱性の修正が含まれる。同プロジェクトは、1.6.xと1.7.xのすべての本番環境に新しいバージョンへの更新を強く推奨している。

修正の全体像 — 12件すべてが外部研究者の報告によるもの

今回の発表が挙げる修正は12件で、いずれも外部の研究者が報告したものだ。発表時点でCVE番号は付記されていない。内訳は、保存型XSSとHTMLエディタのXSS、CSSの不正利用2件、メールヘッダー注入3件、他ユーザーの連絡先グループへの不正アクセス、URL判定の回避、リモートコンテンツのブロック回避2件、SSRF回避の1件である。

注目すべき2件 — ゼロクリックの保存型XSSとSSRF回避

添付ファイル経由のゼロクリック保存型XSSは、研究者のnakko氏が報告した。TNEF形式のMIMEタグを添付ファイルのURL生成部分に紛れ込ませることで、受信者が添付をクリックなどの操作をしなくてもスクリプトが実行されうる状態だった。TNEFとはMicrosoft Outlookなどが使う添付形式（winmail.dat）で、Roundcubeが受信メールの表示時に処理する。保存型XSSとは、悪性のスクリプトがサーバー側に保存され、ページを表示するだけで実行される種類のクロスサイトスクリプティングを指す。

CSSプロキシのSSRF回避は、faceless0x7氏とHarish Annavisamy氏が報告した。Roundcubeはメール内の外部スタイルシート取得をプロキシ経由に制限しているが、16進数表記のIPv6マップIPv4アドレスを使うことでこの制限を回避できた。SSRF（サーバー側リクエスト偽造）とは、サーバーに意図しない内部URLへ接続させる攻撃手法で、防御の回避は内部ネットワークへの到達に悪用されうる。

そのほかの修正10件

残りの修正は以下の通りだ。

• CSS宣言の紛れ込ませ（Zach Hanley氏／Horizon3.aiが報告）：エスケープされていないアンパサンド（&）の出力でCSSの宣言を紛れ込ませる問題に対処した。
• bodyタグのbackground属性経由のCSSプロパティ注入（zenithhostingevan氏が報告）：メール本文のbodyタグの属性を悪用した注入に対処した。
• メールヘッダー注入3件（CVE-Hunter-Leo氏、dogeshark氏が報告）：件名欄の素のCR（改行文字）、宛先表示名のC言語式エスケープ「\r」、識別情報の組織名欄をそれぞれ悪用し、メールヘッダーに不正な行を追加する問題に対処した。
• HTMLエディタのXSS（Joshua Rogers氏が報告）：text/enriched形式の本文をHTMLエディタで扱う際のXSSに対処した。
• 連絡先グループの他ユーザーへの不正アクセス（Joshua Rogers氏が報告）：SQLアドレス帳で連絡先グループへの追加・削除の際に他ユーザーのデータに触れられる問題に対処した。
• is_local_url()の判定回避（nept1337氏が報告）：末尾にドットを付けたFQDNでローカルURLかどうかの判定を回避し、スタイルシートURLとして扱わせる問題に対処した。
• リモートコンテンツのブロック回避2件：FuncIRI属性のCSSエスケープを悪用する回避（Wahab KHADIR氏が報告）と、SVGのアニメーション機能（SMIL）のsrc指定を悪用する回避に対処した。リモートコンテンツのブロックとは、メール内の外部画像などの自動読み込みを抑止し、開封確認などの追跡を防ぐ仕組みを指す。

影響と対応 — 本番環境の速やかな更新を推奨

影響を受けるのはRoundcube Webmailの1.6.xと1.7.xで、修正版は1.6.19と1.7.4として公開済みだ。同プロジェクトは、両系統のすべての本番環境に新しいバージョンへの更新を強く推奨している。詳細な変更履歴はGitHubのダウンロードページのリリースノートに掲載されている。同プロジェクトの呼びかけの通り、該当バージョンを使っている場合は新しいバージョンへの更新の適用が求められる。