セキュリティ · 2026年10月15日
RoundcubeのSQLインジェクション脆弱性が悪用中、カナダ当局が警告
RoundcubeのSQLインジェクション脆弱性が攻撃者によって悪用されていると、カナダのサイバーセキュリティセンターが警告した。この脆弱性はCVE-2026-48842として特定され、CVSSスコアは8.1と評価されている。Roundcubeはオープンソースのセルフホスト型ウェブメールクライアントであり、OutlookやThunderbirdのような標準的なメールアプリにアカウントを設定せずに、独自のメールサーバーにアクセスするための便利な手段として利用されている。多くの同様のプロジェクトと同様に、セキュリティパッチを含む更新が継続的に提供されている。
問題となったのは、1.6.16未満の1.6.x系および1.7.1未満の1.7.x系で含まれるvirtuser_queryプラグインである。この脆弱性は、認証なしでデータベースにクエリを注入することを可能にしていた。技術的な原因は、エスケープ処理済みのコンテンツがpreg_replace()関数に渡される点にあった。この関数はバックスラッシュなどの特定の文字を異なる方法で解釈するため、適切に作成されたペイロードにより、任意のSQLコマンドがデータベースに注入される結果を招いた。
Roundcubeの開発チームは、2026年5月にリリースされた1.6.16および1.7.1でこの脆弱性を修正した。しかし、カナダのサイバーセンターは、この脆弱性が現在も攻撃者によって悪用されていると警告している。この活動に関する追加の詳細は公開されていない。Shadowserver Foundationのデータによると、Roundcubeのインスタンスは52万3000以上が稼働しており、そのうち10件が2026年9月23日時点で脆弱性を持つと特定されている。
ウェブメールへのアクセスは、攻撃者にとって魅力的な標的となり得る。これは、メール本文や添付ファイルからの情報窃取、アカウント所有者へのなりすまし、さらにはパスワードリセット機能を通じて被害者の他のアカウントへのアクセスを可能にするためである。2026年2月には、Roundcubeの別の2つの脆弱性（CVE-2025-49113とCVE-2025-68461）が、米国のサイバーセキュリティおよびインフラストラクチャセキュリティ局（CISA）によって悪用されていると特定されていた。ユーザーには最新バージョンへの更新が推奨される。ホスティングプロバイダーがRoundcubeインスタンスを管理している場合、定期的な更新はプロバイダーの責任となるが、利用状況を確認することが重要である。