Roundcube Webmail の SVG 経由のクロスサイトスクリプティング（悪用確認済み）

High（CVSS 7.2）に分類されるRoundcube Roundcube Webmailの脆弱性です。Roundcube Webmail に、SVG 文書の animate タグを使ったクロスサイトスクリプティングがある。攻撃者が仕込んだ内容を webmail の画面上で実行させる型なので、成立すると閲覧している利用者の権限で webmail の操作ができることになり、セッションの乗っ取りやメール内容の持ち出しにつながる。影響は 1.5.12 より前と、1.6.0 以上 1.6.12 未満で、修正版は 1.5.12 と 1.6.12（ベンダーの告知は 2025年12月13日）。CVSS は評価元で割れており、NVD（Primary）は 6.1 Medium（CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N）だが、CNA の MITRE は 7.2 High（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N）と評価している。差はユーザー操作を要するとみるか（UI:R か UI:N）だけで、ここでは 7.0 以上となる CNA の値を採用している。CWE は両者とも CWE-79。CISA KEV には 2026-02-20 に、同じ Roundcube のデシリアライズの脆弱性（CVE-2025-49113）と同じ日付で収載され、是正期限は 2026-03-13、ランサムウェア利用は Unknown（不明）。NVD の vulnStatus は Analyzed。

判定は版の確認だけで済む。展開ディレクトリの CHANGELOG の先頭、またはパッケージ版（dpkg -l / rpm -q）を見て、1.5.12 未満または 1.6.0 以上 1.6.12 未満なら該当である。CVE-2025-49113 の対応で 1.6.11 まで上げただけの環境はこの脆弱性には該当したままなので、6月の更新で終わったつもりになっている環境がいちばん危ない。1.6 系は 1.6.12、1.5 系は 1.5.12 という「系列ごとの修正版以上」で判定する。すぐ更新できない場合、公式に個別の回避設定が示されているわけではないため、経路を閉じる方向で考える。具体的には、メールゲートウェイ側で SVG の添付とインラインの SVG を除去する、webmail を社外から直接触れないようにする、といった対応になる。ただしこれは元から webmail に届くメールを絞る話であって、根本対策は更新である。完了条件は、（1）すべてのインスタンスが 1.5.12 もしくは 1.6.12 以降になっていること、（2）KEV 収載＝実際に悪用されているので、更新後に利用者側の設定が荒らされていないかを確認することの2点である。この種の脆弱性は成立するとログイン中の利用者の操作を勝手に行えるため、確認すべきはまず利用者設定のうち攻撃者が仕込みやすい箇所、すなわちメールの自動転送先とサーバ側フィルタ、署名、パスワード変更の履歴である。転送ルールが1つ足されていれば、更新したあとも情報は流れ続ける。管理者アカウントで webmail を日常的に開いていた場合は、そのアカウントのパスワードを変え、全セッションを無効化しておく。是正期限 2026-03-13 は既に過ぎているため、未更新なら期限超過として扱う。

Roundcube Roundcube Webmail を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-68461）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/03/13 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。