Roundcube Webmailの認証前SQLインジェクションの悪用
カナダのサイバーセキュリティセンター（Cyber Centre）の2026年9月21日の勧告の更新によると、オープンソースの報告では、Roundcube Webmailのvirtuser_queryプラグインにある認証前のSQLインジェクション（CVE-2026-48842）が実環境で悪用されている［8］。開発元のRoundcubeは5月に修正版を公開し、この脆弱性を直した［1］。
脆弱性の内容
Roundcubeは修正の告知で、この脆弱性を認証前のSQLインジェクションとし、preg_replaceでのバックスラッシュによるエスケープの回避を突くものと説明した［1］。SecurityWeekは、このプラグインがメールアドレスをメールボックスのユーザー名に解決するものだと報じた［13］。
Greenboneの解析では、利用者が入力した認証情報は、$dbh->escape()でSQLのメタ文字の前にバックスラッシュを入れた後、PHPのpreg_replace()に渡されていた［10］。preg_replace()ではバックスラッシュの働きが変わり、攻撃者はSQL文に施した保護を回避できる［10］。修正後のコードは、PHPのstr_replace()で置き換え文字を文字どおりに差し込む［10］。
| 項目 | 値 | 資料 |
|---|---|---|
| CVSS 3.1（CVEレコード） | 8.1（HIGH）。攻撃元区分はネットワーク、攻撃条件の複雑さは高、必要な特権と利用者の関与は不要 | ［6］ |
| CWE | CWE-89（SQLインジェクション） | ［6］ |
| 深刻度（SUSE） | important | ［4］ |
The Hacker NewsはSentinelOneの説明として、未認証の攻撃者がこのプラグインを通じてデータベースにSQLを注入でき、メールアカウントの認証情報と保存されたメッセージがさらされうると報じた［12］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | Roundcube | 1.7.0を公開し、1.6系を重要なセキュリティ更新だけを受けるLTS（低保守）に移して、1.5系のサポートと保守を終えた | ［14］ |
| 2026年 | Roundcube | virtuser_queryプラグインの修正を含む1.6.16と1.7.1を公開した | ［1］ |
| 2026年 | MITRE | CNAとしてCVE-2026-48842を公開した | ［6］ |
| 2026年 | Cyber Centre | Roundcube Webmailを対象に勧告AV26-503を出した | ［8］ |
| 2026年 | Debian | DSA-6301-1を出した | ［2］ |
| 2026年 | JPCERT/CC | Weekly Reportに「Roundcube Webmailに複数の脆弱性」を載せた | ［9］ |
| 2026年 | IDCフロンティア | Zenlogicの利用者にRoundcubeの脆弱性を案内した | ［5］ |
| 2026年 | Cyber Centre | AV26-503のUpdate 1を出した | ［8］ |
| 2026年 | CISA | CVEレコードのSSVCの評価で、Exploitationをnone、Automatableをno、Technical Impactをtotalとした | ［6］ |
対象の製品と版
CVEレコードは、影響を受ける版を1.6.16より前の1.6系と、1.7.1より前の1.7系とした［6］。サポートの終わった1.5系について、oss-securityの6月3日の投稿は、これらの脆弱性の一部か全部に対しておそらく脆弱なままだと書いた［11］。
| 配布元 | 状態 | 修正版・アドバイザリ | 資料 |
|---|---|---|---|
| Debian（bookworm） | 修正済み | 1.6.5+dfsg-1+deb12u9（DSA-6301-1） | ［2］ |
| Debian（trixie） | 修正済み | 1.6.16+dfsg-0+deb13u1（DSA-6301-1） | ［2］ |
| Debian（bullseye） | 修正済み | 1.4.15+dfsg.1-1+deb11u9（DLA-4604-1） | ［3］ |
| Debian（unstable） | 修正済み | 1.6.16+dfsg-1 | ［3］ |
| SUSE（openSUSE Leap 15.6・16.0、Package Hub 15 SP6・SP7、Tumbleweed） | Resolved | roundcubemail 1.6.16系 | ［4］ |
DebianはDSA-6301-1で、CVE-2026-48842を含む8件のCVEを修正した［2］。
悪用の状況
Greenboneの9月24日の記事によると、Coalitionが自社のハニーポットへの悪用の試みを報告した［10］。CVE-2026-48842はCISAの既知の悪用された脆弱性のカタログ（KEV）に加えられていないとも、Greenboneは書いた［10］。NVDのレコードは9月25日の更新でも状態がDeferredで、KEVの項目を持たない［7］。
The Hacker Newsは、Shadowserver Foundationのデータでは、インターネットに露出したRoundcubeが523,000を超えると報じた〔注2〕［12］。9月23日には、そのうち10台が脆弱なホストとして示されていた［12］。
修正と回避策
Roundcubeは告知で、1.6系と1.7系のすべての本番環境を新しい版に更新するよう強く推奨した［1］。JPCERT/CCはWeekly Reportで、修正済みのバージョンに更新すればこの問題は解決すると書いた［9］。
IDCフロンティアの6月3日のZenlogicの利用者への案内では、影響を受ける可能性のある利用者を「Roundcube 1.6.5 未満をご利用のお客様」としている〔注1〕［5］。利用するRoundcubeの版によっては、PHPのバージョンアップが必要になる［5］。
未公表の事項
- Cyber Centreが悪用の根拠にしたオープンソースの報告の出所
- 悪用を受けた組織とサーバーの数
- 攻撃者と、悪用の手口の詳細
注
出典
当事者
- ［1］Roundcube『Security updates 1.6.16 and 1.7.1 released』（2026年5月24日公開）
関係組織
- ［2］Debian Project『[SECURITY] [DSA 6301-1] roundcube security update』（2026年5月27日公開）
- ［3］Debian Project『CVE-2026-48842』（公開日不明、2026年11月5日閲覧）
- ［4］SUSE LLC『CVE-2026-48842 Common Vulnerabilities and Exposures』（2026年5月26日公開、2026年9月11日更新）
- ［5］株式会社IDCフロンティア『【重要】Roundcube の脆弱性に関するご案内』（2026年6月3日公開）
公的機関
- ［6］The MITRE Corporation『CVE-2026-48842』（2026年5月25日公開、2026年9月25日更新）
- ［7］National Institute of Standards and Technology『CVE-2026-48842』（2026年5月25日公開、2026年9月25日更新）
- ［8］Canadian Centre for Cyber Security『Roundcube security advisory (AV26-503) – Update 1』（2026年5月25日公開、2026年9月21日更新）
- ［9］一般社団法人JPCERTコーディネーションセンター『JPCERT/CC Weekly Report 2026-06-03 号』（2026年6月3日公開）
調査・観測
- ［10］Greenbone AG『CVE-2026-48842: Unauthenticated SQL Injection Flaw in Roundcube Webmail Now Targeted』（2026年9月24日公開）
- ［11］Openwall『CVE-2026-48842+more: Roundcube numerous vulnerabilities prior to 1.6.16/1.7.1』（2026年6月3日公開）
報道機関
- ［12］Breach Exposure LLC『Roundcube Pre-Auth SQL Injection Flaw Actively Exploited in the Wild』（2026年9月25日公開）
- ［13］Wired Business Media『Roundcube Webmail Vulnerability in Attackers’ Crosshairs』（2026年9月25日公開）
背景資料
- ［14］Roundcube『Roundcube 1.7.0 released』（2026年5月10日公開）
更新記録
- 2026年9月29日：公開した。