ウェブメール「Roundcube」の脆弱性2件が攻撃の標的に

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、ウェブメールソフトウェア「Roundcube」に関する既知の脆弱性2件が悪用されているとして注意を呼びかけた。

現地時間2026年2月20日にセキュリティアドバイザリを更新。「悪用が確認された脆弱性カタログ（KEV）」へ「Roundcube」に関する2件の脆弱性「CVE-2025-49113」「CVE-2025-68461」を追加した。米行政機関に対して指定期間内に対応するよう求めるとともに利用者へ広く注意を呼びかけている。

「CVE-2025-49113」は、PHPオブジェクトのデシリアライズ処理に起因する脆弱性。CVE番号を採番したMITREでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.9」、重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティングしている。

当初「Roundcube 1.6.11」「同1.5.10」にて修正されたが、その後「同1.5.10」については不具合が判明し、「同1.5.11」にて修正されている。

「CVE-2025-68461」は、クロスサイトスクリプティング（XSS）の脆弱性。2025年12月にリリースされた「同1.6.12」「同1.5.12」にて修正された。MITREにおいてCVSS基本値は「7.2」、重要度は2番目に高い「高（High）」と評価されている。

なお、「Roundcube」については、現地時間2026年2月8日に「同1.6.13」「同1.5.13」がリリースされた。CVE番号への言及はなかったが、セキュリティに関する2件の修正を実施したとしており、あわせて注意が必要となる。

（Security NEXT - 2026/02/24 ）ツイート

ウェブメール「Roundcube」の脆弱性2件が攻撃の標的に

関連リンク

PR

関連記事