Roundcube Webmailの認証不要なSQLインジェクション脆弱性、実際の攻撃での悪用が確認される

要点

• オープンソースのWebメールソフトウェア「Roundcube Webmail」の修正済み脆弱性（CVE-2026-48842）が、実際の攻撃で悪用されているとカナダのサイバーセキュリティ機関が警告した。

• 影響を受けるのは「virtuser_query」プラグインで、事前のログインを行わずにSQL文を注入され、メール内容やアカウント情報が流出する恐れがある。

• 開発元は2026年5月に修正パッチ（バージョン1.6.16および1.7.1）を公開している。

• インターネット上には52万件以上のRoundcube環境が存在し、2026年9月下旬時点でも脆弱なホストが一部で観測されている。

• Roundcubeは機密メールの窃取を狙う攻撃者に頻繁に標的とされており、2026年に入ってからも複数の悪用事例が報告されている。

• カナダのサイバーセキュリティ機関であるカナダ サイバーセキュリティセンター（Cyber Centre）は、広く使われているオープンソースのWebメールソフトウェア「Roundcube Webmail」に存在した脆弱性が、実環境において攻撃者に悪用されていることが判明したとして注意を呼びかけました。対象となっているのは2026年5月に修正パッチが提供された脆弱性「CVE-2026-48842」です。公開情報に基づく報告とされており、現時点で攻撃活動の具体的な手法などの詳細は明らかにされていません。

認証不要でDBへアクセス可能な「CVE-2026-48842」の概要

今回悪用が確認された脆弱性は、Roundcube Webmailに存在する「CVE-2026-48842」です。脆弱性の深刻度を表す共通脆弱性評価システム（CVSS）のスコアは8.1と評価されています。

本脆弱性は、Roundcubeの「virtuser_query」プラグインに含まれる処理に起因するものです。PHPの正規表現置換関数「preg_replace()」におけるバックスラッシュのエスケープ処理に回避可能な問題が存在し、攻撃者が事前の認証を経ずに任意のSQL文（データベースを操作するための問い合わせ命令）を注入できる状態になっていました。

セキュリティ企業のSentinelOneによると、認証を受けていない攻撃者がvirtuser_queryプラグインを通じてRoundcubeのバックエンドデータベースへSQLを送り込み、メールアカウントの認証情報やサーバー内に保存されているメッセージを外部へ漏洩させる危険性があると説明されています。事前のログインを必要としない欠陥であるため、外部から直接攻撃を仕掛けられる点が特徴です。

2026年5月に修正版が提供済み、依然として残るネット上の露出環境

影響を受ける対象は、Roundcube Webmailのバージョン1.6.16未満の1.6.x系、およびバージョン1.7.1未満の1.7.x系です。本脆弱性に対するセキュリティ修正は2026年5月に行われており、開発チームから修正版となる「バージョン1.6.16」および「バージョン1.7.1」がリリースされています。

しかし、パッチ公開から数か月が経過した現在でも、危険にさらされている環境が残されています。インターネット上の脅威動向を観測しているShadowserver Foundationのデータによれば、インターネット経由でアクセス可能なRoundcubeのインスタンスは世界全体で52万3,000件以上に達しています。さらに、2026年9月23日時点の観測データでは、そのうち10件のホストが依然として本脆弱性の影響を受ける状態のままインターネット上に公開されていることが確認されています。

機密メールを狙う脅威アクターによる継続的な標的化

RoundcubeをはじめとするWebメールプラットフォームは、組織内の機密性の高いメール通信を収集できることから、サイバー攻撃グループにとって魅力的な攻撃対象であり続けています。

2026年7月には、セキュリティ企業のProofpointが、中国との関連が疑われるサイバー攻撃グループ「UNK_MassTraction」による活動を報告しています。このグループはRoundcubeの既知のセキュリティ欠陥を悪用し、サーバーを不正に遠隔操作するためのWebシェルや、「VShell」と呼ばれる侵入後の活動用ツールをシステムへ送り込んでいたとされています。

また、2026年2月にも、同製品に存在する別の2件の脆弱性（CVE-2025-49113およびCVE-2025-68461）が、米サイバーセキュリティ・インフラセキュリティ庁（CISA）によって実際に悪用されている脅威として特定され、悪用確認済み脆弱性カタログに追加されていました。このように、Roundcubeを標的とした攻撃手法や脆弱性の悪用は断続的に確認されており、継続的な標的となっている実態が示されています。