Roundcube 1.6.20・1.7.5が17項目を修正｜Webメール運用者の更新確認

Roundcube Webmailは2026年10月19日、1.6 LTS向けの1.6.20と、1.7系列向けの1.7.5を公開しました。公式告知は、両版が最近報告されたセキュリティ脆弱性を修正すると説明し、すべての本番環境へ更新を強く推奨しています。修正は一つの攻撃経路だけではなく、IMAPコマンド、複数IMAPホストでのログイン、外部コンテンツ、添付画像、メールヘッダー、セッション復元など17項目にまたがります。

さらに10月22日には、修正内容の一部についてCVEの詳細が公開されました。たとえばCVE-2026-114732は、複数のIMAPホストを扱う環境でエイリアスアドレスを使ってログインした際、検索対象がIMAPホストで限定されず、別ホスト側の利用者アカウントへ解決され得る問題です。この記事では、公式リリースと公開済みのCVE情報を基に、Webメール運用者がどの構成を確認し、どの順で更新と動作確認を進めるべきかを整理します。実環境での悪用は、確認した一次資料では案内されていません。

対象は1.6系と1.7系の本番環境

Roundcubeの公式セキュリティ更新は、1.6 LTS利用者に1.6.20、1.7利用者に1.7.5を示しています。したがって、1.6.19以前または1.7.4以前を動かしている環境は、まず更新対象として扱います。Linuxディストリビューションやホスティング事業者が独自パッケージを提供している場合は、表示される上流版だけでなく、配布元が修正をバックポートしているかをアドバイザリや変更履歴で確認してください。

Roundcubeを直接設置した覚えがなくても、メールサーバー管理パネル、グループウェア、ホスティングプランのWebメールとして組み込まれていることがあります。更新責任が自社か提供事業者かを先に切り分けます。管理画面だけで版が分からない場合は、配布ファイルのCHANGELOG、パッケージ管理情報、コンテナイメージのタグとdigest、事業者の保守告知を照合します。

利用形態	最初に確認するもの	更新判断
公式アーカイブやComposerで自社導入	Roundcube本体の版、導入手順、プラグイン、PHP要件	1.6.20または1.7.5へ更新
OSパッケージ	配布元アドバイザリとパッケージ変更履歴	バックポート済み版を配布元基準で確認
コンテナ	イメージ提供元、タグ、digest、稼働Pod	修正版を含むイメージへ再展開
レンタルサーバーや管理サービス	事業者のWebメール告知とサポート回答	事業者対応の完了時刻と利用者側作業を確認

17項目を六つの運用境界に分ける

公式告知は修正を17項目列挙しています。個々の文言だけを追うと確認範囲が散らばるため、運用上は六つの境界に分けると対象を見落としにくくなります。

• IMAPコマンド：メールヘッダーやソース表示の_uid、既読・フラグ操作の_flagに含まれるCRLFによるIMAPコマンドインジェクションを修正
• 認証と操作制御：複数IMAPホストでのエイリアスログイン、廃止予定のアクション別名によるdisabled_actions回避、迷惑メール指定時のCSRF検証回避を修正
• 外部コンテンツとCSS：CSSプロキシの処理量制限、NAT64アドレスを使ったSSRFフィルター回避、SVG SMILやCSSエスケープ、at-ruleによる遠隔コンテンツ遮断・CSSスコープ回避を修正
• 添付画像処理：サムネイル生成時に安全とは限らない添付内容をImageMagickへ渡す問題と、GDへのフォールバックによるImageMagickリソース制限回避を修正
• メールヘッダー：BounceのFrom表示名、References、In-Reply-To、Message-ID、From、添付転送時の件名からのヘッダー注入を修正
• セッションと画面出力：rcube_session::unserialize()の「!」で始まるセッションキーによるオブジェクト注入プリミティブと、passwordドライバーのエラー応答処理におけるXSSを修正

ここで重要なのは、すべての環境で17項目が同じ条件で成立するわけではない点です。複数IMAPホスト、特定プラグイン、ImageMagick、外部コンテンツの代理取得など、構成依存の項目があります。一方で、公式は本番環境全体への更新を推奨しており、機能を使っていないという推測だけで更新を見送るべきではありません。構成確認は、更新の優先順位と更新後テストを決めるために使います。

複数IMAPホストではエイリアスログインを優先確認

NVDのCVE-2026-114732は、1.6.20より前と1.7.5より前の1.7系が対象で、複数ホスト構成における不適切な認証を説明しています。利用者がエイリアスアドレスでログインすると、rcube_user::query()がIMAPホストで限定せずにidentityレコードを検索し、別のIMAPホストに属する利用者へ解決され得るという内容です。

単一のIMAPホストしか設定していない環境と、ドメインや顧客ごとに接続先を分ける環境では意味が異なります。後者では、同じエイリアス文字列が複数ホストに存在しないか、ログイン後に表示されるメールボックス、差出人identity、アドレス帳、セッションが正しいホストへ結び付くかを更新後に確認します。試験用アカウントを用意し、実利用者のメールを別環境へ誤って表示しない方法で検証してください。

この問題は一般的な「パスワードが破られる」脆弱性ではありません。アカウントの解決先をホストで十分に限定しなかったことが中心です。そのため、パスワード変更だけでは根本対策にならず、修正版への更新が必要です。認証ログとIMAP接続ログをホスト別に保存している場合は、同一のエイリアスが想定外の接続先へ解決された形跡がないか、更新前後の期間を調べる材料になります。ただし、ログだけで影響の有無を完全に断定できるとは限りません。

メール表示と外部取得は出口制御も点検する

今回の更新には、NAT64の64:ff9b::/96を使ったローカルURL判定回避、SVG SMILやCSSエスケープによる遠隔コンテンツ遮断回避、CSSスコープ回避が含まれます。HTMLメールのサニタイズと遠隔画像ブロックは、単なる表示品質の機能ではありません。外部サーバーへアクセスさせられると、利用者がメールを開いた事実の通知や、Roundcubeサーバーから到達できる内部・メタデータ系アドレスへの要求につながる可能性があります。

修正版へ更新したうえで、WebサーバーやPHP実行環境からの外向き通信を必要先へ限定します。CSSプロキシや画像取得が必要でも、ループバック、プライベートアドレス、リンクローカル、クラウドのメタデータサービス、社内管理面へ到達させる必要は通常ありません。アプリケーション側のURL判定だけに依存せず、ネットワーク側でも出口を制御すると、別表現による判定回避が見つかった際の影響を抑えられます。

添付処理ではImageMagickとGDの実利用を確認

添付画像の縮小処理では、どのバイナリーやPHP拡張が実際に呼ばれているかを確認します。公式告知は、潜在的に安全でない添付内容をImageMagickへ渡す問題と、ImageMagickのリソース制限がGDへのフォールバックで回避される問題を挙げています。Roundcube本体の更新後も、ImageMagickや画像ライブラリ、OS側のポリシーが古いままなら、別の画像処理リスクが残り得ます。

検証では、一般的なJPEGやPNG、サイズの大きい画像、壊れた画像を隔離した試験環境で扱い、サムネイルが生成されること、失敗時にプロセスや一時ファイルが残り続けないこと、CPU・メモリー・ディスク使用量が制限内であることを確認します。危険なファイルを本番へ投入して攻撃を再現する必要はありません。どの処理系が選ばれたかをログや設定から確かめることが目的です。

更新前後の実施順序

1. 資産を確定する：公開URL、Roundcube版、導入元、PHP版、IMAPホスト数、セッション保存先、利用プラグイン、ImageMagick・GDの利用を記録します。
2. バックアップと復旧手順を確認する：設定、データベース、プラグイン、スキン、アップロード・一時領域、旧アーティファクトを分けて保全します。
3. 公式または配布元の修正版を取得する：直接導入なら1.6.20または1.7.5、OSパッケージなら配布元が修正済みと明示した版を使います。
4. 検証環境から反映する：データベース更新の有無、Composer依存、プラグイン互換性、カスタムスキンを確認します。複数台なら一台から段階的に進めます。
5. PHPとWebサーバーを必要に応じ再読込する：ファイルを置き換えただけで、OPcacheや常駐プロセスが旧コードを保持していないかを確認します。
6. 版と主要経路を再確認する：管理画面表示だけでなく、稼働ファイル、パッケージ版、コンテナdigestを記録し、ログインから送受信まで試験します。

緊急更新の対象確定、段階反映、再起動、ロールバックの共通手順は「緊急パッチを安全に適用する実務ランブック｜資産確認からロールバックまで」で整理しています。今回のRoundcubeでは、その共通手順に、メールボックス、外部コンテンツ、添付処理、セッションの試験を追加します。

更新後に通すスモークテスト

• 通常アドレスとエイリアスでログインし、正しいIMAPホストとメールボックスへ接続される
• メール一覧、ヘッダー表示、ソース表示、既読・未読、フラグ、迷惑メール指定が正常に動く
• 返信、転送、添付として転送、Bounceを運用で使う場合は、宛先とヘッダーが想定どおりになる
• 遠隔画像を許可しない初期表示で、外部コンテンツが取得されず、許可時だけ表示される
• 画像添付のプレビューとダウンロードが成功し、異常なCPU・メモリー・一時ファイル増加がない
• Redisやmemcachedをセッション保存に使う場合、ログイン継続、ログアウト、期限切れが正常に動く
• Web、PHP、Roundcube、IMAP、リバースプロキシのログに新しいエラーや想定外の外向き接続がない

暫定策だけでは修正済みにならない

すぐ更新できない場合は、Webメールの公開範囲をVPNや許可IPへ絞る、使っていないプラグインや操作を停止する、外向き通信を限定する、添付画像の自動処理を抑える、といった緩和策を構成に応じて検討できます。ただし、今回の17項目は異なる経路に分散しているため、一つのWAFルールや遠隔画像の無効化だけで全体を代替できません。

また、公式告知と確認したCVE情報は修正版を示していますが、過去の侵害がなかったことを保証するものではありません。公開Webメールで、想定外のアカウント解決、IMAPエラー、異常な外部URL、PHP例外、画像変換の急増が見つかった場合は、更新作業と調査を分け、ログや証拠を上書きしないよう保全します。確認した一次資料では実環境での悪用は示されていないため、攻撃を受けたと断定せず、観測事実に基づいて判断します。

Roundcube 1.6.20と1.7.5は、多数の小さな境界修正を一度に含む更新です。単に版を上げるだけでなく、自社が複数IMAPホスト、遠隔コンテンツ、添付変換、追加プラグイン、外部セッションストアのどれを使っているかを台帳へ残すと、更新後の確認を具体化できます。公式版または配布元の修正済み版へ更新し、実際のログイン・表示・送信・添付処理まで確認して対応を完了しましょう。

関連記事

• 緊急パッチを安全に適用する実務ランブック｜資産確認からロールバックまで