リモートのDebian 11ホストには、dla-4480アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    -------------------------------------------------- ----------------------- Debian LTS アドバイザリ DLA-4480-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2026 年 2 月 17 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ roundcube バージョン 1.4.15+dfsg.1-1+deb11u7 CVE ID CVE-2026-25916 CVE-2026-26079 Debian バグ 1127447

    IMAP サーバー用のスキン可能な AJAX ベースの Web メールソリューションである Roundcube で脆弱性が発見されました。これにより、情報漏洩または権限昇格が引き起こされる可能性があります。

    CVE-2026-25916

        NULL CATHEDRAL は、HTML サニタイザーが SVG を処理しないことを発見しました。<feImage href=> ` を画像ソースとして使用します。これにより、攻撃者がリモートイメージブロックをバイパスしてメールオープンアクションを追跡したり、アクセス制御をバイパスしたりする可能性があります。

    CVE-2026-26079

        CERT Polska 氏は、text/html メールの CSS コードが十分にサニタイズされず、攻撃者が悪意のあるスタイルシートルールを注入することが可能になることを発見しました。

    Debian 11 Bullseyeでは、これらの問題はバージョン 1.4.15+dfsg.1-1+deb11u7 で修正されました。

    お使いの roundcube パッケージをアップグレードすることを推奨します。

    roundcube の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
    https://security-tracker.debian.org/tracker/roundcube

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 署名

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 1.5.13 より前の Roundcube Webmail および 1.6 ] より前の 1.6.13 により、Cascading Style SheetCSSインジェクションが可能です。これは、たとえば、コメントが不適切に処理されるためです。CVE-2026-26079

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモート Web サーバーは、1.5.13 より前の 1.5.x または 1.6.13 より前の 1.6.x のバージョンの Roundcube Webmail を実行しています。そのため、以下の複数の脆弱性の影響を受けます。

  - コメントの処理が不適切なために、Cascading Style SheetsCSSインジェクションの脆弱性が存在します。リモートの攻撃者がこれを悪用し、任意のCSSを注入する可能性があります。CVE-2026-26079

  - 「リモートイメージをブロック」設定が使用されている際に SVG feImage 要素がブロックされないため、リモートイメージブロックバイパスが存在します。リモートの攻撃者がこれを悪用して、リモート画像をロードする可能性があります。CVE-2026-25916

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Ubuntu 16.04LTS / 18.04LTS / 20.04LTS / 22.04LTS / 24.04LTS ホストには、USN-8223-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Roundcube WebmailがPunycode xn(ドメイン名)を誤って扱っていたことが判明しました。攻撃者はこの問題を利用してホモグラフ攻撃を引き起こす可能性があります。(CVE-2019-15237)

    Roundcube WebmailがHTMLメッセージ内のCSS処理時に特定の属性や特定のSVG属性を適切にサニタイズしていなかったことが判明しました。攻撃者はこの問題を利用してクロスサイトスクリプティング攻撃を引き起こす可能性があります。(CVE-2024-38356、 CVE-2024-38357)

    Roundcube Webmailはメールのレンダリング時に特定のHTML属性を適切にサニタイズしていなかったことが判明しました。攻撃者はこの問題を利用してクロスサイトスクリプティング攻撃を引き起こす可能性があります。
    (CVE-2024-42008)

    Roundcube Webmailはレンダリングされたメールメッセージ内の特定のCSSトークンシーケンスを適切にフィルタリングしていないことが判明しました。攻撃者がこの問題を悪用して、秘密情報を取得する可能性があります。
    (CVE-2024-42010)

    Roundcube WebmailがHTMLサニタイザー内でSVGタグを画像ソースとして正しく扱っていなかったことが判明しました。攻撃者はこの問題を利用してリモート画像ブロックを回避し、メールの開封行動を追跡したり、アクセス制御を回避したりする可能性があります。(CVE-2026-25916)

    ラウンドキューブWebmailはカスケーディングスタイルシート(CSS)内のコメントを適切に処理していないことが判明しました。攻撃者はこの問題を利用してCSSインジェクション攻撃を行う可能性があります。(CVE-2026-26079)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:20323-1 アドバイザリで言及されています。

    roundcubemail に変更します

    1.6.13 に更新:

      これは、Roundcube Webmail の安定版stableバージョン 1.6 に対するセキュリティ更新です。
      最近報告されたセキュリティの脆弱性に対する修正を提供します
      - CERT Polska により報告された CSS インジェクションの脆弱性を修正boo#1258052、 CVE-2026-26079。
      - nullcathedral が報告する SVG コンテンツを介したリモートイメージブロックのバイパスを修正しますboo#1257909、 CVE-2026-25916。

      このバージョンは安定版stableと見なされ、Roundcube 1.6.x の全ての生産インストールをこのバージョンで更新することを推奨します。更新する前に、データのバックアップを行ってください！

      変更ログ
      - ManagesieveOut of Office での日付テストのための string-list フォーマット値の処理を修正します#10075
      - CERT Polska 氏により報告された CSS インジェクションの脆弱性を修正します。
      - nullcathedral により報告される SVG コンテンツを介したリモート画像ブロックバイパスを修正。

    1.6.12 に更新:

      これは、Roundcube Webmail の安定版stableバージョン 1.6 に対するセキュリティ更新です。
      最近報告されたセキュリティの脆弱性に対する修正を提供します

      - Valentin T. 氏、CrowdStrike 氏により報告された SVG のアニメーションタグを介してクロスサイトスクリプティングの脆弱性を修正しますboo#1255308、 CVE-2025-68461]
      -somerandomdev によって報告された HTML スタイルサニタイザーにある情報漏洩の脆弱性を修正しますboo#1255306、 CVE-2025-68460。

      このバージョンは安定版stableと見なされ、Roundcube 1.6.x の全ての生産インストールをこのバージョンで更新することを推奨します。

      - データベース DSN で IPv6 をサポートします#9937
      - 特定の error_reporting 設定を強制しません
      - array_first() に関する PHP との互換性を修正します 8.5 
      - X-XSS-Protection の例を .htaccess ファイルから削除します#9875
      - 最初のグループ作成後のグループアクション状態への割り当てを修正#9889
      - contactlist_fields に vcard フィールドが含まれている場合に、コンタクト検索が失敗するバグを修正します#9850
      - mbox エクスポートファイルに一貫性のないメッセージの区切り文字が含まれる可能性があるバグを修正#9879
      - 適切にフォーマットされていないインラインスタイルの解析を修正します#9948
      - SVG のアニメーションタグによるクロスサイトスクリプティングの脆弱性を修正します
      - HTML スタイルサニタイザーの情報漏洩の脆弱性を修正します

    1.6.11 に更新してください

      これは、Roundcube Webmail の安定版stableバージョン 1.6 に対するセキュリティ更新です。
      最近報告されたセキュリティの脆弱性に対する修正を提供します
      * firs0v によって報告される PHP オブジェクト逆シリアル化を通じて Post-Auth RCE を修正します。

    - 変更ログ
      * Managesieveヘッダーの削除アクションの match-type セレクターを修正未サポートのオプションを削除します#9610
      * SMTP 認証の無効化に関する混乱を修正するためにインストーラーを向上します#9801
      * index.php の PHP 警告を修正します#9813
      * OAuthトークンリフレッシュを修正/改善します
      * HTML メールプレビューで誤った色が blockquote に使用されるダークモードのバグを修正します#9820
      * フローテーブルが含まれる場合の HTML メッセージプレビューを修正します#9804
      * キープレフィックスを使用する際の redis/memcache レコードの削除/期限切れを修正
      * タイプごとに 1 つ以上ある場合、間違った SPECIAL-USE フォルダが検出される可能性があるバグを修正します#9781
      * password_ldap_encodage オプションのデフォルト値およびドキュメンテーションを修正します#9658
      * モバイル/フローティングの [Create] ボタンを [Settings] >#9661[Folders] でリストから削除します [ ]
      * フォルダーの作成中の [削除] と [空] ボタンの状態を修正します#9047]
      * ldap:// URI を使用した LDAP への接続を修正#8990]
      * HTML モードでの返信引用の下でのカーソル位置を修正します#8700
      * コンテンツタイプが application/vnd.ms-tnef である添付ファイルが解析されないバグを修正します#7119

    1.6.10 に更新:

      これは、安定版stableバージョン 1.6を更新する次のサービスリリースです。
      * IMAPANNOTATE-EXPERIMENT-1 拡張の部分的サポートRFC 5257
      * OAuthOIDC トークンで受信した長寿命パスワードによる標準認証をサポートします#9530
      * PHP 警告を修正します#9616、 #9611]
      * vCard 行の継続における空白処理を修正します#9637
      * managedsieve_kolab_master モードでの初期スクリプト作成後の現在のスクリプト状態を修正
      * Zimbra サーバーでの rcube_imap::get_vendor() の結果および PHP 警告を修正します#9650]
      * インライン SVG 画像がメールプレビューで欠けている回帰を修正します#9644
      * ユーザー名のバックスラッシュを処理するために virtuser_file を修正します#9668
      * 一部の無効な形式の BODYSTRUCTURE 応答を解析する際の PHP の致命的なエラーを修正します#9689
      * PostgreSQL で insert_or_update() とデータベースサーバー構成の読み取りを修正します#9710]
      * use_secure_urls=true の Oauth 問題を修正します#9722
      * quoted-printable でエンコードされたバイナリメール部分例PDFの処理を修正します#9728
      * コメント内のリンクを修正し、必要に応じて https:// に構成します#9759、 #9756]
      * RFC2231 と RFC2047 の両方の標準を使用してエンコードされた添付ファイル名のデコードを修正します#9725]

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 12 / 13 ホストには、dsa-6137 アドバイザリで言及されているように、複数の脆弱性の影響を受けるパッケージがインストールされています。

    - -------------------------------------------------- -------------------------- Debian セキュリティアドバイザリ DSA-6137-1 security@debian.org https://www.debian.org/security/Sebastien Delafond 2026 年 2 月 17 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージroundcube CVE ID CVE-2026-25916 CVE-2026-26079 Debian バグ1127447

    CERT Polska 氏と nullcathedral は、IMAP サーバー用の skinnable AJAX ベースの webmail ソリューションである roundcube がリクエストを正しく処理せず、サニタイズしないことを発見しました。これにより、攻撃者が CSS インジェクション攻撃を実行したり、機密情報を漏洩したりする可能性があります。

    旧安定版oldstableディストリビューションbookword では、これらの問題はバージョン 1.6.5+dfsg-1+deb12u7 で修正されています。

    安定版stableディストリビューションtrixieでは、これらの問題はバージョン 1.6.13+dfsg-0+deb13u1 で修正されています。

    お使いの roundcube パッケージをアップグレードすることを推奨します。

    roundcube の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/roundcube

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-547e298156 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    ## リリース 1.6.13

    - ManagesieveOut of Office での日付テストのための string-list フォーマット値の処理を修正します#10075
    - nullcathedral により報告される SVG コンテンツ経由のリモートイメージブロックのバイパスを修正します
    - CERT Polska 氏により報告される CSS インジェクションの脆弱性を修正





Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 42 ホストには、FEDORA-2026-d684b372f1 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    ## リリース 1.6.13

    - ManagesieveOut of Office での日付テストのための string-list フォーマット値の処理を修正します#10075
    - nullcathedral により報告される SVG コンテンツ経由のリモートイメージブロックのバイパスを修正します
    - CERT Polska 氏により報告される CSS インジェクションの脆弱性を修正





Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
299289	Debian dla-4480roundcube - セキュリティ更新	Nessus	Debian Local Security Checks	2026/2/17	2026/4/30	medium
298655	Linux Distros のパッチ未適用の脆弱性: CVE-2026-26079	Nessus	Misc.	2026/2/11	2026/7/20	medium
298770	Roundcube Webmail 1.5.x < 1.5.13 / 1.6.x < 1.6.13 の複数の脆弱性	Nessus	CGI abuses	2026/2/12	2026/4/30	medium
311109	Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS:Roundcube Webmail の脆弱性(USN-8223-1)	Nessus	Ubuntu Local Security Checks	2026/4/30	2026/4/30	medium
301453	openSUSE 16 セキュリティ更新roundcubemailopenSUSE-SU-2026:20323-1	Nessus	SuSE Local Security Checks	2026/3/7	2026/3/7	high
299290	Debian dsa-6137 : roundcube - セキュリティ更新	Nessus	Debian Local Security Checks	2026/2/17	2026/4/30	medium
299620	Fedora 43roundcubemail2026-547e298156	Nessus	Fedora Local Security Checks	2026/2/19	2026/2/19	medium
299624	Fedora 42roundcubemail2026-d684b372f1	Nessus	Fedora Local Security Checks	2026/2/19	2026/2/19	medium

検出

プラグインの検索

medium

medium

medium

medium

high

medium

medium

medium