情報取得日: 2026/02/20／最終確認: 2026/08/15・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2025-49113 |
|---|---|
| 製品 | Roundcube / Roundcube Webmail |
| CVSS | 8.8（High） CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-502 信頼できないデータのデシリアライズ |
| CVE 公開日 | 2025/06/02（NVD） |
| CISA KEV 収載日 | 2026/02/20 2025年に公開された脆弱性です。新着として扱う前に公開年を確認してください。 |
| KEV 期限 | 2026/03/13 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2025-49113 |
Roundcube Webmail の program/actions/settings/upload.php で URL の _from パラメータが検証されておらず、認証済みユーザーが PHP オブジェクトのデシリアライズを経て任意コードを実行できる。攻撃の前提はメールアカウントで webmail にログインできることだけで、管理者権限は不要である。つまりログインできる一般利用者が1人いれば、あるいは正規利用者の資格情報が1つ漏れていれば、Web サーバ権限でのコード実行まで到達する。影響は 1.5.10 より前の全バージョンと 1.6.0 以上 1.6.11 未満で、修正版は 1.5.10 と 1.6.11（ベンダーの告知は 2025年6月1日）。NVD の CPE には Debian 11 も影響対象として挙がっている。CVSS は評価元で割れており、NVD（Primary）が 8.8 High（CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）、CNA の MITRE が 9.9 Critical（CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H）で、差はスコープ変更を認めるか（S:U か S:C）の見方だけである。CWE は両者とも CWE-502。NVD の参照一覧には検知スクリプトや Exploit 扱いの記事が並んでおり、攻撃手法は公開されている。CISA KEV には 2026-02-20 に収載され、是正期限は 2026-03-13、ランサムウェア利用は Unknown（不明）。NVD の vulnStatus は Analyzed。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
EC2 や ECS / EKS 上で動かしている Roundcube を 1.5.10 もしくは 1.6.11 以降へ更新する
AWS のマネージドサービス側の欠陥ではなく、利用者が持ち込んだアプリの問題。コンテナで動かしている場合はイメージを再ビルドしないと古いコードが残る。SES や WorkMail を使っているだけなら関係しない。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
Compute Engine や GKE 上の Roundcube を修正版へ更新する
GCP 側のサービスの問題ではない。Marketplace のイメージや構築手順で入れた webmail は自動更新されないため、版を明示的に確認する。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Azure VM や AKS 上の Roundcube を修正版へ更新する
Exchange Online などのマネージドメールとは無関係で、対象は利用者が自分で立てた Roundcube のみ。App Service に載せている場合はデプロイ元のコードを差し替える。
参照リンク
|
| Linux | ディストリ修正あり |
ディストリのパッケージを更新する（Debian は 2025年6月の LTS アナウンスで修正版が出ている）。パッケージが無い環境は上流の 1.5.10 / 1.6.11 へ差し替える
ディストリ版の版番号は上流と一致しないため、版番号ではなくディストリの CVE トラッカーで Fixed かを確認する。
参照リンク
|
まず自分の環境の版を確定させる。配布物を直接展開している場合は展開ディレクトリ直下の CHANGELOG の先頭、パッケージで入れている場合は dpkg -l や rpm -q の roundcube パッケージ版を見て、1.5.10 未満か 1.6.0 以上 1.6.11 未満なら該当である。見落としが出やすいのは、自分で建てた webmail ではなく他のものに同梱された Roundcube で、ホスティングパネル（CWP など）が別ポートで同梱する webmail、メールサーバ構築手順の一部として入れた古い版、検証用に残したままの旧インスタンスが典型的な残存箇所になる。すぐ更新できない場合は経路を閉じる方向でしのぐしかなく、公式に個別の回避設定が示されているわけではないので、webmail をインターネットに直接晒すのをやめて VPN や送信元 IP 制限の内側に入れる、ログイン試行にレート制限をかける、といった対応になる。ただし攻撃には正規のログインが必要という前提は、資格情報が1つ漏れていれば崩れる点に注意する。完了条件は、（1）すべての Roundcube インスタンスが 1.5.10 もしくは 1.6.11 以降になっていること、（2）KEV 収載＝実際に悪用されている脆弱性なので、更新だけで終わらせず痕跡を確認することの2点である。痕跡としては webmail の web root や temp/ 配下に見覚えの無い PHP ファイルが無いか、アクセスログに upload.php への不審なリクエストが並んでいないか、利用者の設定（転送先やフィルタ）が書き換えられていないかを見る。侵入の疑いがあるなら、その webmail が触れていた IMAP/SMTP の資格情報とデータベースの認証情報を再発行し、全セッションを無効化する。是正期限 2026-03-13 は既に過ぎているため、未更新のインスタンスが残っているなら期限超過として扱う。
High（CVSS 8.8）に分類されるRoundcube Roundcube Webmailの脆弱性です。Roundcube Webmail の program/actions/settings/upload.php で URL の _from パラメータが検証されておらず、認証済みユーザーが PHP オブジェクトのデシリアライズを経て任意コードを実行できる。攻撃の前提はメールアカウントで webmail にログインできることだけで、管理者権限は不要である。つまりログインできる一般利用者が1人いれば、あるいは正規利用者の資格情報が1つ漏れていれば、Web サーバ権限でのコード実行まで到達する。影響は 1.5.10 より前の全バージョンと 1.6.0 以上 1.6.11 未満で、修正版は 1.5.10 と 1.6.11（ベンダーの告知は 2025年6月1日）。NVD の CPE には Debian 11 も影響対象として挙がっている。CVSS は評価元で割れており、NVD（Primary）が 8.8 High（CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）、CNA の MITRE が 9.9 Critical（CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H）で、差はスコープ変更を認めるか（S:U か S:C）の見方だけである。CWE は両者とも CWE-502。NVD の参照一覧には検知スクリプトや Exploit 扱いの記事が並んでおり、攻撃手法は公開されている。CISA KEV には 2026-02-20 に収載され、是正期限は 2026-03-13、ランサムウェア利用は Unknown（不明）。NVD の vulnStatus は Analyzed。
まず自分の環境の版を確定させる。配布物を直接展開している場合は展開ディレクトリ直下の CHANGELOG の先頭、パッケージで入れている場合は dpkg -l や rpm -q の roundcube パッケージ版を見て、1.5.10 未満か 1.6.0 以上 1.6.11 未満なら該当である。見落としが出やすいのは、自分で建てた webmail ではなく他のものに同梱された Roundcube で、ホスティングパネル（CWP など）が別ポートで同梱する webmail、メールサーバ構築手順の一部として入れた古い版、検証用に残したままの旧インスタンスが典型的な残存箇所になる。すぐ更新できない場合は経路を閉じる方向でしのぐしかなく、公式に個別の回避設定が示されているわけではないので、webmail をインターネットに直接晒すのをやめて VPN や送信元 IP 制限の内側に入れる、ログイン試行にレート制限をかける、といった対応になる。ただし攻撃には正規のログインが必要という前提は、資格情報が1つ漏れていれば崩れる点に注意する。完了条件は、（1）すべての Roundcube インスタンスが 1.5.10 もしくは 1.6.11 以降になっていること、（2）KEV 収載＝実際に悪用されている脆弱性なので、更新だけで終わらせず痕跡を確認することの2点である。痕跡としては webmail の web root や temp/ 配下に見覚えの無い PHP ファイルが無いか、アクセスログに upload.php への不審なリクエストが並んでいないか、利用者の設定（転送先やフィルタ）が書き換えられていないかを見る。侵入の疑いがあるなら、その webmail が触れていた IMAP/SMTP の資格情報とデータベースの認証情報を再発行し、全セッションを無効化する。是正期限 2026-03-13 は既に過ぎているため、未更新のインスタンスが残っているなら期限超過として扱う。
Roundcube Roundcube Webmail を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-49113）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/03/13 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/15）。