ハッカーたちは現在、コードインジェクション攻撃においてRoundcubeの重大な脆弱性を悪用している

カナダ・サイバーセキュリティセンター（CCCS）によると、5月に修正されたRoundcube Webmailの重大な脆弱性が、現在、攻撃において積極的に悪用されているという。

Roundcube Webmailは、ブラウザベースのIMAPメールクライアントであり、数千万人のユーザーを抱える数千のサービスでデフォルトのメールインターフェースとして使用されているほか、広く利用されているcPanelウェブホスティングコントロールパネルにもプリインストールされている。

5月、Roundcubeのセキュリティチームはこの脆弱性（CVE-2026-48842として追跡）にパッチを適用した。同チームは、この脆弱性を、データベース駆動型のユーザー検索を処理し、ユーザーをメールアドレスにマッピングする組み込みプラグイン「virtuser_query」における、認証前のSQLインジェクションであると説明している。

この脆弱性が悪用されると、権限を持たない攻撃者が認証を迂回し、悪意のあるデータベースコマンドを注入・実行し、ユーザーの操作を必要としない高度に複雑な攻撃を通じて、Roundcubeのデータベースからデータを盗み出すことが可能になります。

また、Roundcubeは、この脆弱性を修正したバージョン1.6.16および1.7.1へサーバーを更新することをユーザーに「強く」推奨しています。

脅威監視を行う非営利団体Shadowserverによると、現在、インターネット上に公開されているRoundcubeインスタンスは52万3,000件以上に上ります。ただし、そのうちハニーポットであるものや、この脆弱性に対してすでにパッチが適用されているものの数に関する情報は存在しません。

「現在悪用されている」とフラグ付け

CVE-2026-48842へのパッチ適用から4か月後の月曜日、カナダ・サイバーセキュリティセンター（CCCS）は5月のアドバイザリを更新し、攻撃者が現在この脆弱性を積極的に悪用していることを警告した。

「オープンソースの報告によると、CVE-2026-48842が実環境で悪用されていることが示唆されています」とサイバーセキュリティセンターは警告し、管理者にウェブメールサーバーのセキュリティ対策を講じるよう促しました。

進行中の攻撃を阻止するためのセキュリティ更新プログラムは提供されていますが、直ちにサーバーをアップグレードできない管理者は、攻撃経路を排除するためにvirtuser_queryプラグインを無効化または削除する必要があります。

Roundcubeのセキュリティ脆弱性は、サイバー犯罪者や国家が支援するハッキンググループ双方にとって格好の標的となっており、Winter Vivern（TA473） は、欧州の政府機関を標的とした攻撃でクロスサイトスクリプティング（XSS）のゼロデイ脆弱性（CVE-2023-5631）を悪用しており、ロシアのサイバー諜報グループ「APT28」は、複数の脆弱性（CVE-2020-35730、 CVE-2020-12641、およびCVE-2021-44026）を悪用してウクライナ政府の電子メールシステムに侵入した。

さらに最近では、2月に、米国 サイバーセキュリティ・インフラセキュリティ庁（CISA）は、Roundcubeの他の2つの脆弱性（CVE-2025-49113およびCVE-2025-68461）が実際に悪用されているとして警告を発し、政府機関に対し3週間以内にネットワークのセキュリティ対策を講じるよう命じた。

2022年5月以降、同サイバーセキュリティ機関は、11件のRoundcube Webmailの脆弱性を「実環境で悪用されている」と指定している。