Roundcube Webmailのプレーンテキスト表示の格納型XSS
Roundcube Webmailのプレーンテキストの表示処理にゼロクリックの格納型XSS（CVE-2026-54433）があり、開発チームは2026年7月5日に公開した1.6 LTS向けの1.6.17と1.7向けの1.7.2で修正した［1］。CVE記録によると、細工したプレーンテキストのメールを開くかプレビューするだけで、攻撃者が制御するJavaScriptが被害者の認証済みのセッションで実行される［6］。
脆弱性の内容
開発チームはプロジェクトの紹介のページで、Roundcubeを標準的なLAMPPサーバーで動く無料のオープンソースのウェブメールと説明した［11］。2023年からはNextcloudがプロジェクトの新しい拠点で、数千のサービスがRoundcubeを使って数百万の利用者にウェブメールを提供している［11］。
| 項目 | 値 | 資料 |
|---|---|---|
| CVSS 3.1（CNAのMITRE） | 7.2（HIGH）、CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N | ［6］ |
| CVSS 3.1（NVD） | 10.0（CRITICAL）、CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N | ［7］ |
| CWE | CWE-79（クロスサイトスクリプティング） | ［6］ |
| SSVC（CISA） | Exploitation: none、Automatable: yes、Technical Impact: partial | ［6］ |
| 報告者の所属 | Samsung R&D Institute Ukraine（SRUKR） | ［1］ |
同じ版で修正した脆弱性には、CVE-2026-54433のほかに次のものがある［1］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | MITRE | CVE-2026-54433の番号を予約した | ［6］ |
| 2026年 | Roundcube | 修正版を公開した | ［1］ |
| 2026年 | カナダサイバーセキュリティセンター | 注意喚起AV26-657を出した | ［8］ |
| 2026年 | MITRE | CVE記録を公開した | ［6］ |
| 2026年 | cPanel | cPanel & WHMの134.0.45と136.0.29でcpanel-roundcubemailを更新した | ［4、5］ |
| 2026年 | CISA | CVE記録にSSVCの評価を加えた | ［6］ |
| 2026年 | Debian | DSA-6391-1を出した | ［3］ |
対象の製品と版
CVE記録の説明では、影響を受けるのは1.6.17より前の版と、1.7.xの1.7.2より前の版である［6］。webhosting.todayは、cPanelがRoundcubeを既定のウェブメールとしてcpanel-roundcubemailパッケージで同梱していると報じた［10］。
DebianはDSA-6391-1で、CVE-2026-54432、CVE-2026-54433、CVE-2026-62641〜62644を対象にした［3］。これらの脆弱性は、アカウントの乗っ取り、クロスサイトスクリプティング、SSRFの回避、情報の漏えい、サービス拒否に至りうると説明した［3］。
| 配布元 | 状態 | 修正版・アドバイザリ | 資料 |
|---|---|---|---|
| Debian（trixie） | 修正版あり | 1.6.17+dfsg-0+deb13u1（DSA-6391-1） | ［3］ |
| Debian（bookworm） | 修正版あり | 1.6.5+dfsg-1+deb12u10（DLA-4693-1）。追跡ページは1.6.5+dfsg-1+deb12u9をvulnerableと表示 | ［2］ |
| Debian（bullseye） | 修正版あり | 1.4.15+dfsg.1-1+deb11u10（DLA-4693-1） | ［2］ |
| Debian（unstable） | 修正版あり | 1.6.17+dfsg-1（Debian Bug 1141495） | ［2］ |
| cPanel & WHM 134 | 修正版あり | 134.0.45（CPANEL-54417。cpanel-roundcubemailを1.6.17に更新） | ［4］ |
| cPanel & WHM 136 | 修正版あり | 136.0.29（CPANEL-54417） | ［5］ |
悪用の状況
SecurityOnline.infoの7月9日の記事によると、CVE-2026-54433とCVE-2026-54432の2件で、実環境での悪用は報告されていない［9］。
webhosting.todayは7月15日の記事で、どちらのXSSも悪用の公の証拠は無く、どちらもCISAのKEVカタログに載っていないと報じた［10］。
修正と回避策
開発チームは、1.6.xと1.7.xの本番環境をすべて新しい版に更新するよう強く推奨した［1］。カナダサイバーセキュリティセンターは注意喚起AV26-657で、利用者と管理者にリンク先の資料を確かめて必要な更新を適用するよう勧めた［8］。
未公表の事項
- プレーンテキストの表示処理の中で脆弱性があった箇所と、細工の形
- 影響を受けた導入の数
- 修正版への更新のほかの回避策
出典
当事者
- ［1］Roundcube Webmail Dev Team『Security updates 1.6.17 and 1.7.2 released』（2026年7月5日公開）
関係組織
- ［2］Debian Project『CVE-2026-54433』（公開日不明、2026年11月7日閲覧）
- ［3］Debian Project『\[SECURITY\] \[DSA 6391-1\] roundcube security update』（2026年7月19日公開）
- ［4］cPanel, L.L.C.『134 Change Log』（2026年7月14日公開）
- ［5］cPanel, L.L.C.『136 Change Log』（2026年7月14日公開）
公的機関
- ［6］CVE Program『CVE-2026-54433』（2026年7月14日公開、2026年7月15日更新）
- ［7］National Institute of Standards and Technology『CVE-2026-54433』（2026年7月14日公開、2026年10月24日更新）
- ［8］Canadian Centre for Cyber Security『Roundcube security advisory (AV26-657)』（2026年7月6日公開）
報道機関
- ［9］Daily CyberSecurity『Roundcube 1.7.2 Patches Zero-Click Stored XSS CVE-2026-54433』（2026年7月9日公開）
- ［10］webhosting.today『Roundcube's Zero-Click Webmail XSS, and How Fast It Reached cPanel』（2026年7月15日公開）
背景資料
- ［11］Roundcube Webmail Dev Team『About the Roundcube webmail project』（公開日不明、2026年11月7日閲覧）
更新記録
- 2026年7月11日：公開した。
- 2026年7月14日：CVE Programが公開したCVE記録（出典6）と、cPanelの134・136の変更履歴（出典4、5）を加え、「脆弱性の内容」「時系列」「対象の製品と版」を改めた。
- 2026年7月15日：CVE記録の7月15日の更新で加わったCISAのSSVCの評価（出典6）を「脆弱性の内容」と「時系列」に、webhosting.todayの記事（出典10）を「対象の製品と版」と「悪用の状況」に加えた。
- 2026年7月19日：DebianのDSA-6391-1（出典3）を「時系列」と「対象の製品と版」に加えた。
- 2026年10月24日：NVDの記録（出典7。10月24日更新）を加え、NVDのCVSSの評価を「脆弱性の内容」の表1に加えた。