リモートの Debian 13 ホストには、dsa-6196 アドバイザリで言及されているように、複数の脆弱性の影響を受けるパッケージがインストールされています。

    - -------------------------------------------------- -------------------------- Debian セキュリティアドバイザリ DSA-6196-1 security@debian.org https://www.debian.org/security/Salvatore Bonaccorso 2026 年 4 月 4 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージroundcube CVE ID CVE-2026-35537 CVE-2026-35538 CVE-2026-35539 CVE-2026-35540 CVE-2026-35541 CVE-2026-35542 CVE-2026-35543 CVE-2026-35544 CVE-2026-35545 Debian バグ1131182 1132268

    IMAP サーバー用のスキン可能な AJAX ベースの Web メールソリューションである roundcube で複数の脆弱性が見つかりました。これにより、情報漏洩、IMAP インジェクション、CSRF バイパス、リモート画像ブロックのバイパス、クロスサイトスクリプティング、アクセス制御のバイパス、権限昇格が引き起こされる可能性があります。

    旧安定版oldstableディストリビューションbookword では、これらの問題はバージョン 1.6.5+dfsg-1+deb12u8 で修正されています。

    安定版stableディストリビューションtrixieでは、これらの問題はバージョン 1.6.15+dfsg-0+deb13u1 で修正されています。

    お使いの roundcube パッケージをアップグレードすることを推奨します。

    roundcube の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/roundcube

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 1.6.14より前の Roundcube Webmail 1.6.0 で問題が発見されました。HTML メールメッセージでの不十分な Cascading Style SheetCSSサニタイズにより、SSRF または情報漏洩が発生する可能性があります。たとえば、スタイルシートのリンクがローカルのネットワークホストを指している場合などです。CVE-2026-35540

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-8ba1a085a9 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    **バージョン 1.6.15**

    これは、Roundcube Webmail の安定版stableバージョン 1.6 に対するセキュリティ更新です。
    これは、以前のリリースで導入されたいくつかの回帰と最近報告されたセキュリティの脆弱性の修正を提供します

    - フィル/フィルター/ストロークを介した SVG Animate FUNCIRI 属性バイパスリモート画像ロード。class_nzm により報告。

    このバージョンは安定版stableと見なされ、Roundcube 1.6.x の全ての生産インストールをこのバージョンで更新することを推奨します。更新する前に、データのバックアップを行ってください！

    変更ログ

    - メール検索が非 ASCII 検索条件で失敗する回帰を修正します#10121
    - 一部のデータ URL イメージが無視/失われる可能性がある回帰を修正します#10128
    - フィル/フィルター/ストロークを介して SVG Animate FUNCIRI 属性がリモート画像ロードをバイパスするのを修正します



Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 42 ホストには、FEDORA-2026-051825ca18 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    **バージョン 1.6.15**

    これは、Roundcube Webmail の安定版stableバージョン 1.6 に対するセキュリティ更新です。
    これは、以前のリリースで導入されたいくつかの回帰と最近報告されたセキュリティの脆弱性の修正を提供します

    - フィル/フィルター/ストロークを介した SVG Animate FUNCIRI 属性バイパスリモート画像ロード。class_nzm により報告。

    このバージョンは安定版stableと見なされ、Roundcube 1.6.x の全ての生産インストールをこのバージョンで更新することを推奨します。更新する前に、データのバックアップを行ってください！

    変更ログ

    - メール検索が非 ASCII 検索条件で失敗する回帰を修正します#10121
    - 一部のデータ URL イメージが無視/失われる可能性がある回帰を修正します#10128
    - フィル/フィルター/ストロークを介して SVG Animate FUNCIRI 属性がリモート画像ロードをバイパスするのを修正します



Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 44 ホストには、FEDORA-2026-6d293b6889 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    **バージョン1.7-rc6**

    これがRoundcube Webmailの次期メジャーバージョン 1.7 最後のリリース候補であることを願っています。
    最近報告されたセキュリティ脆弱性の修正を提供します:

    - SVG Animate FUNCIRI属性バイパス、フィル/フィルター/ストロークによるリモート画像読み込み(class_nzmが報告)。

    本番環境対応だと考えていますが、別の環境でテストすることをお勧めします。

    既存の設定を installto.sh または update.sh スクリプトで移行してください。

    インストール前には必ずデータのバックアップを忘れずに!

    変更ログ

    - smtp_userおよびsmtp_pass設定オプション(#10083)における配列のサポート追加
    - システムヘルスチェッカーCLIスクリプト(#10106)を追加
    - Ajaxリクエストのより厳格な認識(#10118)
    - パスワード:Stalwartドライバー(#10114)を追加しました
    - 一部のデータURL画像が無視・失われる回帰の修正(#10128)
    - 修正:SVG Animate FUNCIRI属性のバイパス、フィル/フィルター/ストロークによるリモート画像読み込み



Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
305020	Debian dsa-6196 : roundcube - セキュリティ更新	Nessus	Debian Local Security Checks	2026/4/5	2026/4/10	high
304879	Linux Distros のパッチ未適用の脆弱性: CVE-2026-35540	Nessus	Misc.	2026/4/5	2026/4/8	medium
305671	Fedora 43roundcubemail2026-8ba1a085a9	Nessus	Fedora Local Security Checks	2026/4/9	2026/4/10	high
305675	Fedora 42roundcubemail2026-051825ca18	Nessus	Fedora Local Security Checks	2026/4/9	2026/4/10	high
310687	Fedora 44 : roundcubemail (2026-6d293b6889)	Nessus	Fedora Local Security Checks	2026/4/28	2026/4/28	high

検出

プラグインの検索

high

medium

high

high

high