CVE-2025-68461とは？Roundcube Webmailの脆弱性をわかりやすく解説

ひとことでRoundcube Webmail で、細工した画像から不正なスクリプトが動く弱点です。
深刻度6.1 警告CVSS v3.1
まずやること1.6 系は 1.6.12 以降に更新する

基本情報（データから表示）

CVE番号	CVE-2025-68461
製品	Roundcube Webmail
深刻度（CVSS）	6.1 警告CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N`
KEVへの追加日	2026-02-20
米国政府機関の対応期限	2026-03-13
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-79（クロスサイトスクリプティング）

何が起きた

Roundcube Webmail に、SVG という形式の画像の中にある animate タグを使って不正なスクリプトを動かせる弱点（クロスサイトスクリプティング）が見つかり、実際の悪用が確認されています。ネットワーク経由で、ログインしていない攻撃者でも悪用できますが、被害者が何らかの操作をする必要があります。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Roundcube Webmail の 1.5.12 より前の版と、1.6 系の 1.6.12 より前の版を使っている組織や利用者が対象です。

何をすればいい

Roundcube の公式の案内を確認し、1.5 系は 1.5.12 以降、1.6 系は 1.6.12 以降に更新してください。Roundcube は、運用中の 1.6.x と 1.5.x をすべて新しい版に更新するよう強く勧めています。

やることチェックリスト

1.6 系は 1.6.12 以降に更新する
1.5 系は 1.5.12 以降に更新する
運用中のすべての Roundcube を更新する

用語メモ

クロスサイトスクリプティング用語集で見る: Web ページに不正なスクリプトを紛れ込ませ、見た人のブラウザで動かしてしまう攻撃です。
SVG 用語集で見る: 線や図形の情報を文字で書き表す画像の形式で、中に動きの指示なども書き込めます。

次に読む

同じ製品・メーカーの脆弱性Roundcube Webmail（CVE-2025-49113）8.8 重要CVSS v3.1Roundcube Webmail で、ログイン済みの人に不正なプログラムを動かされる弱点です。同じ製品・メーカーの脆弱性Roundcube Webmail（CVE-2024-42009）9.3 緊急CVSS v3.1Roundcube Webmail で、細工したメールを開くとメールを盗まれるおそれがある弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

RoundCube Webmail Cross-site Scripting Vulnerability

概要

RoundCube Webmail contains a cross-site scripting vulnerability via the animate tag in an SVG document.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る

Roundcube Webmail のクロスサイトスクリプティングの脆弱性（CVE-2025-68461）