Roundcube Webmail のクロスサイトスクリプティングの脆弱性（CVE-2025-68461）

何が起きた

Roundcube Webmail に、SVG という形式の画像の中にある animate タグを使って不正なスクリプトを動かせる弱点（クロスサイトスクリプティング）が見つかり、実際の悪用が確認されています。ネットワーク経由で、ログインしていない攻撃者でも悪用できますが、被害者が何らかの操作をする必要があります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Roundcube Webmail の 1.5.12 より前の版と、1.6 系の 1.6.12 より前の版を使っている組織や利用者が対象です。

何をすればいい

Roundcube の公式の案内を確認し、1.5 系は 1.5.12 以降、1.6 系は 1.6.12 以降に更新してください。Roundcube は、運用中の 1.6.x と 1.5.x をすべて新しい版に更新するよう強く勧めています。

やることチェックリスト

• 1.6 系は 1.6.12 以降に更新する
• 1.5 系は 1.5.12 以降に更新する
• 運用中のすべての Roundcube を更新する

用語メモ

クロスサイトスクリプティング

Web ページに不正なスクリプトを紛れ込ませ、見た人のブラウザで動かしてしまう攻撃です。

SVG

線や図形の情報を文字で書き表す画像の形式で、中に動きの指示なども書き込めます。