概要
カナダ政府サイバーセキュリティセンターは、オープンソースのウェブメールソフトウェアRoundcubeに存在する認証前SQLインジェクション脆弱性CVE-2026-48842(CVSSスコア8.1)が、実際の攻撃で悪用されていると警告した。この脆弱性はすでに2026年5月にパッチが提供されていたが、Shadowserver Foundationの追跡によると、インターネット上に露出しているRoundcubeインスタンスは52万台以上に上るが、そのうち何台がパッチ済みかは不明とされている。Roundcubeは数千のホスティングサービスで利用されており、一般的なcPanelウェブホスティングプラットフォームにも標準搭載されているため、影響範囲は広い。
脆弱性の技術的詳細
問題の根本原因は、メールアドレスをメールボックスのユーザー名に解決するvirtuser_queryプラグインにある。このプラグインはSQLインジェクションを防ぐためpreg_replace()によるバックスラッシュエスケープ処理を実装していたが、攻撃者はバックスラッシュのシーケンスを含む巧妙に作成したクエリを送ることでこの正規表現によるエスケープ機構を回避できる。これにより引用符がSQL文字列に連結される形でデータベースに送信され、認証なしで任意のSQL文を注入・実行できてしまう。SentinelOneの分析によれば、この手法によりメールアカウントの認証情報や保存済みメッセージが露出する可能性があるほか、SecurityWeekの報道では、データベース操作の改ざん、ユーザー情報・メッセージ・アドレスブックへのアクセス、さらには認証フローや管理機能のマッピングまで可能になるとされている。影響を受けるのはRoundcube 1.6.x(1.6.16未満)および1.7.x(1.7.1未満)で、修正版は2026年5月に公開された1.6.16および1.7.1である。
悪用の状況と背景
カナダサイバーセキュリティセンターは、オープンソースの報告に基づき本脆弱性が野生で活発に悪用されていることを確認したが、具体的な攻撃手法の詳細は明らかにしていない。The Hacker Newsの報道では、2026年9月23日時点で脆弱性を持つホストとして10件が特定されたとしている。Roundcubeを標的とした攻撃は今回が初めてではなく、過去には2026年7月、中国系脅威アクターUNK_MassTractionがRoundcubeの既知の脆弱性を悪用し、Webシェルや侵入後のツール「VShell」を展開した実績がある。また2026年2月にはCVE-2025-49113やCVE-2025-68461が米CISAによって実際に悪用されている脆弱性として指定されている。また、ロシアのAPT28のような国家支援型グループもRoundcubeの脆弱性を標的にしてきた経緯があり、メールサーバーが機密性の高い通信や認証情報を扱うインフラであることから、攻撃者にとって恒常的に価値の高い標的となっている。
今後の見通し
Roundcubeの利用規模の大きさと、パッチ公開から悪用確認までに約4か月という比較的長い期間が経過していることを踏まえると、未パッチのまま放置されているインスタンスが今後さらに標的化される可能性は高い。特にホスティングプロバイダーのcPanel環境では管理者が個別にRoundcubeのバージョンを意識していないケースも多いとみられ、露出台数の多さと相まってリスクが拡大しやすい状況にある。運用者には修正版1.6.16または1.7.1への早急なアップデートが強く推奨される。