サイバーセキュリティ

Weekly Report: Roundcube Webmailに複数の脆弱性

JPCERT/CCは2026年10月28日公表の週次レポートで、Roundcube Webmailに複数の脆弱性があると紹介した。解決策は修正済みバージョンへの更新とされている。Roundcubeの公式ニュース（2026年10月19日付のURLに記載）で示された修正版は1.6.20および1.7.5である。脆弱性の種類、件数、影響の詳細は、取得した本文からは確認できなかった。詳細は公式出典をご確認ください。

最終確認日: 2026-10-28

この発表の要点

Roundcube Webmailに複数の脆弱性があると、JPCERT/CCが2026年10月28日公表の週次レポートで紹介した
解決策は、修正済みバージョンへの更新とされている
情報源URLに記載された修正版は1.6.20および1.7.5である

企業・自治体への影響

Webメールサービスを社内または自社サービスとして利用している企業では、情報システム部門が主な対応主体となる。顧客向けにRoundcubeを提供している場合は、関係する運用部門にも影響が及ぶ可能性がある。取得した本文から影響範囲の詳細は確認できない。

対応すべきこと

自社でRoundcube Webmailを利用しているか確認する
利用中のバージョンが修正版（1.6.20または1.7.5）より前か確認し、対象であれば更新計画を立てる
詳細な脆弱性内容と影響範囲を、公式出典（開発者情報）で確認する
情報システム部門と関係部門へ情報を共有し、対応状況を管理する

対象部門： 情シス総務

対応期限：速やかに確認

基本データ

企業・団体	JPCERT/CC
業界	IT・ソフトウェア
発表日	2026-10-28
分類	サイバーセキュリティ

発表された内容

JPCERT-WR-2026-1028
JPCERT/CC
2026-10-28

<<>>
■10/18(日)〜10/24(土) のセキュリティ関連情報
目次

【1】VeloCloud OrchestratorにSQLインジェクションの脆弱性

【2】ISC BINDに複数の脆弱性

【3】複数のCisco製品に脆弱性

【4】GitLabに複数の脆弱性

【5】Apache Tomcatに複数の脆弱性

【6】Google Chromeに複数の脆弱性

【7】複数のAtlassian製品に脆弱性

【8】複数のMozilla製品に脆弱性

【9】LaravelのTokenGuardに認証回避につながる脆弱性

【10】Roundcube Webmailに複数の脆弱性

【11】MOVEit Transferに複数の脆弱性

【12】複数のOracle製品に脆弱性

【13】PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起

【14】JPCERT/CCが2026年7月から2026年9月分の「ソフトウェア等の脆弱性関連情報に関する届出状況」を公開

【15】JPCERT/CCが2026年7月から9月分の「JPCERT/CC 四半期レポート」を公開

※紹介するセキュリティ関連情報の選定基準は以下のページをご覧ください。
https://www.jpcert.or.jp/wr/

【1】VeloCloud OrchestratorにSQLインジェクションの脆弱性

情報源

Security Advisory 0199 - Arista

October 22, 2026 VeloCloud Orchestrator (VCO) on-prem has a security issue where this issue may allow a remote attacker ...

概要
Aristaが提供するVeloCloud Orchestratorには、SQLインジェクションの脆弱性があります。Aristaは、今回修正された脆弱性を悪用した攻撃を確認しているとのことです。ホスト型はすでに修正済みです。オンプレミス版の利用者は、当該製品を修正済みのバージョンに更新してください。詳細は、開発者が提供する情報を参照してください。

【2】ISC BINDに複数の脆弱性

情報源

JVNVU#91196958: ISC BINDにおける複数の脆弱性（2026年10月）

Japan Vulnerability Notes

概要
Internet Systems Consortiumが提供するBINDには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書

List of BIND Security Advisories

This is a complete list of all BIND security advisories, both current and historical. Advisories apply only to particula...

【3】複数のCisco製品に脆弱性

情報源

Cisco Expressway Series Remote Code Execution Vulnerability

A vulnerability in the database service feature of Cisco Expressway Series could allow an unauthenticated, remote attack...

概要
複数のCisco製品には、脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書

Security Advisories

【4】GitLabに複数の脆弱性

情報源

GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13 | GitLab Docs

Learn more about GitLab Critical Patch Release: 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13 for GitLab Com...

概要
GitLabには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

【5】Apache Tomcatに複数の脆弱性

情報源

JVNVU#93110597: Apache Tomcatにおける複数の脆弱性（2026年10月20日）

Japan Vulnerability Notes

概要
Apache Tomcatには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書

Pony Mail

【6】Google Chromeに複数の脆弱性

情報源

Stable Channel Update for Desktop

?? The Chrome team is delighted to announce the promotion of Chrome 156 to the stable channel for Windows, Mac and Linux...

概要
Google Chromeには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

【7】複数のAtlassian製品に脆弱性

情報源

Security Bulletin - October 20 2026 | Atlassian Support | Atlassian Documentation

概要
複数のAtlassian製品には、脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

【8】複数のMozilla製品に脆弱性

情報源

Security Vulnerabilities fixed in Firefox 158.0.1

概要
複数のMozilla製品には、脆弱性があります。Firefox、Firefox ESR、Thunderbird、Firefox for Androidが影響を受けます。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。
関連文書

Mozilla Foundation Security Advisories

【9】LaravelのTokenGuardに認証回避につながる脆弱性

情報源

Token-based API guard Auth Bypass

Laravel's built-in TokenGuard, **when configured with a standard token-based API guard**, may be bypassed to authenticat...

概要
Laravelに標準搭載されているトークン認証機構「TokenGuard」には、特定の構成において認証回避につながる脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

【10】Roundcube Webmailに複数の脆弱性

情報源

Security updates 1.6.20 and 1.7.5 released

Free and open source webmail software for the masses, written in PHP

概要
Roundcube Webmailには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

【11】MOVEit Transferに複数の脆弱性

情報源

Progress Customer Community

概要
Progress Softwareが提供するMOVEit Transferには、複数の脆弱性があります。この問題は、当該製品を修正済みのバージョンに更新することで解決します。詳細は、開発者が提供する情報を参照してください。

【12】複数のOracle製品に脆弱性

情報源

Oracle Critical Patch Update Advisory - October 2026

概要
複数のOracle製品には、脆弱性があります。対象となる製品およびバージョンは多岐にわたります。この問題は、Oracleが提供するセキュリティパッチを適用することで解決します。詳細は、開発者が提供する情報を参照してください。

【13】PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起

情報源

PHPにおける複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起

概要
PHPには、複数のリモートコード実行につながる脆弱性があります。本脆弱性を悪用できると主張する実証コードが多数公開されているほか、本脆弱性の悪用を試みる通信を観測したとの報告も相次いでいます。この問題は、バージョンアップを実施することで解決します。ただし、すでにサポートが終了したバージョンに関しては修正版はリリースされません。詳細は、開発者が提供する情報を参照してください。

【14】JPCERT/CCが2026年7月から2026年9月分の「ソフトウェア等の脆弱性関連情報に関する届出状況」を公開

情報源

https://www.jpcert.or.jp/pr/2026/vulnREPORT_2026q3.pdf

概要

出典: www.jpcert.or.jp
URL: https://www.jpcert.or.jp/wr/2026/wr261028.html#10

時系列

2026-10-19　Roundcubeの公式ニュースで、セキュリティアップデート（1.6.20・1.7.5）が示された（情報源URLの日付による）
2026-10-28　JPCERT/CCが週次レポート（JPCERT-WR-2026-1028）で、Roundcube Webmailの複数の脆弱性を紹介した

この事例から確認すべきポイント

この事例では、JPCERT/CCが脆弱性の存在と「修正済みバージョンへの更新で解決する」ことを示している。取得した本文からは、脆弱性の種類、深刻度、件数、悪用の有無、影響を受ける具体的な構成などは確認できなかった。詳細は公式出典をご確認ください。自社でRoundcube Webmailを利用している場合は、利用中のバージョンが修正版（情報源URLに記載された1.6.20または1.7.5）より前かどうかを確認し、対象であれば更新計画を立てる必要がある。また、Webメールは外部から到達しやすいサービスであることが多いため、更新作業の前後でログや利用状況を確認する体制が望ましい。対象が自社で利用されていないことを確認できた場合でも、関係部門へ情報を共有しておくことが実務上有効である。

公式出典

更新履歴

公開日: 2026-10-28 ／最終確認: 2026-10-28

執筆・確認主体

この記事は、上記の公式出典を一次情報として PRaze編集部（株式会社スキルマーク）が構造化・要約したものです。要約と分類の生成にはAIを使用しています。

数値・日付・組織名・金額は公式発表の原文から転記しており、原文に記載のない事項を補って書くことはしていません。内容の正確性は公式出典をご確認ください。

編集・公開: PRaze編集部（株式会社スキルマーク）／出典確認日: 2026-10-28