Roundcube、1.6.20と1.7.5を公開―メール処理や操作制限の不備を修正

Roundcube開発チームは2026年10月19日、Webメールソフトのセキュリティ更新版「1.6.20」と「1.7.5」を公開しました。本番環境で1.6系・1.7系を利用する管理者に、修正版への更新を強く推奨しています。

修正には、入力値に含まれる改行を通じてメールサーバ向けの命令が混入するIMAPコマンドインジェクションや、メールヘッダーへの不正な値の挿入が含まれます。添付ファイルの画像処理や、サーバから内部宛ての通信を防ぐフィルターにも修正が入りました。

また、無効化した操作を古い別名で呼び出せる問題や、Password Modoboaドライバーで別アカウントのパスワードを変更できる問題も解消しています。修正対象はメール本文の表示だけでなく、管理者が設定した操作制限にも及びます。

公式告知では、今回の各脆弱性を使った実際の攻撃や被害は報告していません。管理者は利用系列に合う修正版を確認し、ホスティング事業者の提供機能として利用している場合は、事業者の更新状況を確認してください。