リモート Web サーバーは、1.5.13 より前の 1.5.x または 1.6.13 より前の 1.6.x のバージョンの Roundcube Webmail を実行しています。そのため、以下の複数の脆弱性の影響を受けます。

  - コメントの処理が不適切なために、Cascading Style SheetsCSSインジェクションの脆弱性が存在します。リモートの攻撃者がこれを悪用し、任意のCSSを注入する可能性があります。CVE-2026-26079

  - 「リモートイメージをブロック」設定が使用されている際に SVG feImage 要素がブロックされないため、リモートイメージブロックバイパスが存在します。リモートの攻撃者がこれを悪用して、リモート画像をロードする可能性があります。CVE-2026-25916

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 1.5.13 より前の Roundcube Webmail および 1.61.6.13] より前の は、Block リモートイメージを使用する場合、SVG feImage をブロックしません。CVE-2026-25916

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートのDebian 11ホストには、dla-4480アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    -------------------------------------------------- ----------------------- Debian LTS アドバイザリ DLA-4480-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2026 年 2 月 17 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ roundcube バージョン 1.4.15+dfsg.1-1+deb11u7 CVE ID CVE-2026-25916 CVE-2026-26079 Debian バグ 1127447

    IMAP サーバー用のスキン可能な AJAX ベースの Web メールソリューションである Roundcube で脆弱性が発見されました。これにより、情報漏洩または権限昇格が引き起こされる可能性があります。

    CVE-2026-25916

        NULL CATHEDRAL は、HTML サニタイザーが SVG を処理しないことを発見しました。<feImage href=> ` を画像ソースとして使用します。これにより、攻撃者がリモートイメージブロックをバイパスしてメールオープンアクションを追跡したり、アクセス制御をバイパスしたりする可能性があります。

    CVE-2026-26079

        CERT Polska 氏は、text/html メールの CSS コードが十分にサニタイズされず、攻撃者が悪意のあるスタイルシートルールを注入することが可能になることを発見しました。

    Debian 11 Bullseyeでは、これらの問題はバージョン 1.4.15+dfsg.1-1+deb11u7 で修正されました。

    お使いの roundcube パッケージをアップグレードすることを推奨します。

    roundcube の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
    https://security-tracker.debian.org/tracker/roundcube

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 署名

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:20323-1 アドバイザリで言及されています。

    roundcubemail に変更します

    1.6.13 に更新:

      これは、Roundcube Webmail の安定版stableバージョン 1.6 に対するセキュリティ更新です。
      最近報告されたセキュリティの脆弱性に対する修正を提供します
      - CERT Polska により報告された CSS インジェクションの脆弱性を修正boo#1258052、 CVE-2026-26079。
      - nullcathedral が報告する SVG コンテンツを介したリモートイメージブロックのバイパスを修正しますboo#1257909、 CVE-2026-25916。

      このバージョンは安定版stableと見なされ、Roundcube 1.6.x の全ての生産インストールをこのバージョンで更新することを推奨します。更新する前に、データのバックアップを行ってください！

      変更ログ
      - ManagesieveOut of Office での日付テストのための string-list フォーマット値の処理を修正します#10075
      - CERT Polska 氏により報告された CSS インジェクションの脆弱性を修正します。
      - nullcathedral により報告される SVG コンテンツを介したリモート画像ブロックバイパスを修正。

    1.6.12 に更新:

      これは、Roundcube Webmail の安定版stableバージョン 1.6 に対するセキュリティ更新です。
      最近報告されたセキュリティの脆弱性に対する修正を提供します

      - Valentin T. 氏、CrowdStrike 氏により報告された SVG のアニメーションタグを介してクロスサイトスクリプティングの脆弱性を修正しますboo#1255308、 CVE-2025-68461]
      -somerandomdev によって報告された HTML スタイルサニタイザーにある情報漏洩の脆弱性を修正しますboo#1255306、 CVE-2025-68460。

      このバージョンは安定版stableと見なされ、Roundcube 1.6.x の全ての生産インストールをこのバージョンで更新することを推奨します。

      - データベース DSN で IPv6 をサポートします#9937
      - 特定の error_reporting 設定を強制しません
      - array_first() に関する PHP との互換性を修正します 8.5 
      - X-XSS-Protection の例を .htaccess ファイルから削除します#9875
      - 最初のグループ作成後のグループアクション状態への割り当てを修正#9889
      - contactlist_fields に vcard フィールドが含まれている場合に、コンタクト検索が失敗するバグを修正します#9850
      - mbox エクスポートファイルに一貫性のないメッセージの区切り文字が含まれる可能性があるバグを修正#9879
      - 適切にフォーマットされていないインラインスタイルの解析を修正します#9948
      - SVG のアニメーションタグによるクロスサイトスクリプティングの脆弱性を修正します
      - HTML スタイルサニタイザーの情報漏洩の脆弱性を修正します

    1.6.11 に更新してください

      これは、Roundcube Webmail の安定版stableバージョン 1.6 に対するセキュリティ更新です。
      最近報告されたセキュリティの脆弱性に対する修正を提供します
      * firs0v によって報告される PHP オブジェクト逆シリアル化を通じて Post-Auth RCE を修正します。

    - 変更ログ
      * Managesieveヘッダーの削除アクションの match-type セレクターを修正未サポートのオプションを削除します#9610
      * SMTP 認証の無効化に関する混乱を修正するためにインストーラーを向上します#9801
      * index.php の PHP 警告を修正します#9813
      * OAuthトークンリフレッシュを修正/改善します
      * HTML メールプレビューで誤った色が blockquote に使用されるダークモードのバグを修正します#9820
      * フローテーブルが含まれる場合の HTML メッセージプレビューを修正します#9804
      * キープレフィックスを使用する際の redis/memcache レコードの削除/期限切れを修正
      * タイプごとに 1 つ以上ある場合、間違った SPECIAL-USE フォルダが検出される可能性があるバグを修正します#9781
      * password_ldap_encodage オプションのデフォルト値およびドキュメンテーションを修正します#9658
      * モバイル/フローティングの [Create] ボタンを [Settings] >#9661[Folders] でリストから削除します [ ]
      * フォルダーの作成中の [削除] と [空] ボタンの状態を修正します#9047]
      * ldap:// URI を使用した LDAP への接続を修正#8990]
      * HTML モードでの返信引用の下でのカーソル位置を修正します#8700
      * コンテンツタイプが application/vnd.ms-tnef である添付ファイルが解析されないバグを修正します#7119

    1.6.10 に更新:

      これは、安定版stableバージョン 1.6を更新する次のサービスリリースです。
      * IMAPANNOTATE-EXPERIMENT-1 拡張の部分的サポートRFC 5257
      * OAuthOIDC トークンで受信した長寿命パスワードによる標準認証をサポートします#9530
      * PHP 警告を修正します#9616、 #9611]
      * vCard 行の継続における空白処理を修正します#9637
      * managedsieve_kolab_master モードでの初期スクリプト作成後の現在のスクリプト状態を修正
      * Zimbra サーバーでの rcube_imap::get_vendor() の結果および PHP 警告を修正します#9650]
      * インライン SVG 画像がメールプレビューで欠けている回帰を修正します#9644
      * ユーザー名のバックスラッシュを処理するために virtuser_file を修正します#9668
      * 一部の無効な形式の BODYSTRUCTURE 応答を解析する際の PHP の致命的なエラーを修正します#9689
      * PostgreSQL で insert_or_update() とデータベースサーバー構成の読み取りを修正します#9710]
      * use_secure_urls=true の Oauth 問題を修正します#9722
      * quoted-printable でエンコードされたバイナリメール部分例PDFの処理を修正します#9728
      * コメント内のリンクを修正し、必要に応じて https:// に構成します#9759、 #9756]
      * RFC2231 と RFC2047 の両方の標準を使用してエンコードされた添付ファイル名のデコードを修正します#9725]

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 12 / 13 ホストには、dsa-6137 アドバイザリで言及されているように、複数の脆弱性の影響を受けるパッケージがインストールされています。

    - -------------------------------------------------- -------------------------- Debian セキュリティアドバイザリ DSA-6137-1 security@debian.org https://www.debian.org/security/Sebastien Delafond 2026 年 2 月 17 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージroundcube CVE ID CVE-2026-25916 CVE-2026-26079 Debian バグ1127447

    CERT Polska 氏と nullcathedral は、IMAP サーバー用の skinnable AJAX ベースの webmail ソリューションである roundcube がリクエストを正しく処理せず、サニタイズしないことを発見しました。これにより、攻撃者が CSS インジェクション攻撃を実行したり、機密情報を漏洩したりする可能性があります。

    旧安定版oldstableディストリビューションbookword では、これらの問題はバージョン 1.6.5+dfsg-1+deb12u7 で修正されています。

    安定版stableディストリビューションtrixieでは、これらの問題はバージョン 1.6.13+dfsg-0+deb13u1 で修正されています。

    お使いの roundcube パッケージをアップグレードすることを推奨します。

    roundcube の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/roundcube

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
298770	Roundcube Webmail 1.5.x < 1.5.13 / 1.6.x < 1.6.13 の複数の脆弱性	Nessus	CGI abuses	2026/2/12	2026/2/13	medium
298453	Linux Distros のパッチ未適用の脆弱性: CVE-2026-25916	Nessus	Misc.	2026/2/10	2026/4/29	medium
299289	Debian dla-4480roundcube - セキュリティ更新	Nessus	Debian Local Security Checks	2026/2/17	2026/2/17	medium
301453	openSUSE 16 セキュリティ更新roundcubemailopenSUSE-SU-2026:20323-1	Nessus	SuSE Local Security Checks	2026/3/7	2026/3/7	high
299290	Debian dsa-6137 : roundcube - セキュリティ更新	Nessus	Debian Local Security Checks	2026/2/17	2026/2/17	medium

検出

プラグインの検索

medium

medium

medium

high

medium