Roundcube Webmail: redis/memcache セッションハンドラにおける不安全なデシリアライゼーション

Roundcube Webmailのバージョン1.5.14以前および1.6.14以前に存在するCVE-2026-35537の脆弱性は、Redis/Memcacheセッションハンドラにおける不安全なデシリアライゼーションにより重大なリスクをもたらします。認証されていない攻撃者は、この脆弱性を悪用してシステム上の任意のファイル書き込み操作を実行する可能性があります。これにより、重要なファイルの改ざんまたは削除につながり、メールサーバーの整合性が損なわれ、悪意のあるコードの実行が可能になる可能性があります。この脆弱性の深刻さは、認証情報なしで攻撃者が容易に悪用できる点にあります。認証不要であるため、ネットワークアクセスできる人は誰でもこの弱点を悪用する可能性があります。このリスクを軽減するためには、セキュリティアップデートを適用することが不可欠です。

1. 予約済み2026-04-03
2. 公開日2026-04-03
3. 更新日2026-04-14
4. EPSS 更新日2026-04-10

CVE-2026-35537に対処するための推奨される解決策は、Roundcube Webmailをバージョン1.5.14以降、またはバージョン1.6.14以降にアップデートすることです。バージョン1.7-rc5にも修正が含まれています。このアップデートにより、Redis/Memcacheセッションハンドラにおける不安全なデシリアライゼーションが修正され、任意のファイル書き込み操作の実行が防止されます。アップデートに加えて、Redis/Memcacheセッションが適切に保護および分離されていることを確認するために、サーバー構成を確認することをお勧めします。サーバーログを監視して疑わしいアクティビティを検出し、対応することも役立ちます。即時のアップデートが不可能な場合は、ネットワークアクセスを制限したり、ファイアウォールを実装したりするなど、追加のセキュリティ対策を検討してください。