フランスのCERT-FRは2026年10月19日、Roundcube Webmailの複数の脆弱性を公表しました。対象は1.7.x系の1.7.5未満と、1.6.20未満のバージョンです。遠隔から任意のコードを実行される恐れなどがあり、利用企業は稼働中の版と更新状況を確認する必要があります。
遠隔からのコード実行など、複数の危険性
CERT-FRが挙げている影響は、遠隔からの任意のコード実行、サーバーサイドリクエストフォージェリ(SSRF)、クロスサイトスクリプティング(XSS)、クロスサイトリクエストフォージェリ(CSRF)、セキュリティポリシーの回避です。
任意のコード実行は、攻撃者が意図した処理を実行される恐れを指します。SSRFはサーバー側から意図しない通信を行わせる攻撃、XSSはブラウザー上で不正なスクリプトを動かす攻撃です。CSRFは、利用者の意図しない操作を行わせる攻撃を指します。
今回の資料だけでは、それぞれの攻撃に必要な条件や、実際の悪用の有無までは確認できません。脆弱性の公表と、被害が起きたことは分けて扱う必要があります。社内への第一報では、被害を断定せず、対象製品と版の確認を依頼する内容にしましょう。
参照先は1.6.20・1.7.5のセキュリティ更新情報
CERT-FRが参照しているのは、2026年10月19日付のRoundcubeの1.6.20・1.7.5セキュリティ更新情報です。修正プログラムの入手については、開発元のセキュリティ情報を参照するよう案内しています。
情シスが最初に確かめたいのは、「Roundcube Webmailを使っているか」に加えて、「実際に動いている版は何か」です。更新の予定がある場合も、予定だけで対応済みとせず、適用後の版を確認する進め方が適切です。
日本での提供は発表には書かれていません。国内での対応判断は、今回示された製品名とバージョン条件に自社の環境を照らし合わせて進めてください。
影響する会社・しない会社
- 影響する: Roundcube Webmailの1.7.x系で、1.7.5未満を運用している会社です。自社で管理している場合は、稼働版と更新方法の確認対象になります。
- 影響する: Roundcube Webmailの1.6.20未満を利用している会社です。運用を委託している場合は、委託先に稼働版と修正の適用状況を確認してください。
- 影響しない: Roundcube Webmailを利用していない会社は、今回の製品・版の条件には該当しません。ただし、利用製品が分からない場合は、確認が終わるまで対象外と判断しないでください。
- 影響しない: 1.6.20または1.7.5を運用している会社は、今回示された対象版の範囲には含まれません。これは、ほかの脆弱性がないことを保証するものではありません。
情シスが今日やること
- 利用の有無と管理担当を確認する。 IT資産台帳やメール基盤の構成資料でRoundcube Webmailの記載を探します。記載がなければ、メール基盤の管理担当または委託先に、採用製品名を問い合わせてください。
- 稼働版を確認し、対象条件と照合する。 管理担当に、現在動いているバージョンと確認日を回答してもらいます。今回の資料には、版を確認する管理画面の場所は示されていません。画面の位置を決めつけず、運用担当が確認できる方法で版を特定してください。
- 対象なら、更新方法と作業日を決める。 開発元の1.6.20・1.7.5セキュリティ更新情報を確認します。自社運用なら保守担当、委託運用なら委託先に、修正の適用方法と実施予定日の提示を依頼してください。今回の資料に一律の対応期限はないため、社内の判断者と期限を決めます。
- 適用後の版を確認して記録する。 作業完了時に、管理担当から適用後の版を報告してもらいます。対象だった環境、確認した版、作業日、未対応の環境を台帳に残し、情シス責任者へ共有してください。
