メールサーバーDovecotに脆弱性25件、2.4.5へ CVE-2026-42007

メールサーバーの定番ソフト「Dovecot（ダブコット）」に、脆弱性25件をまとめて修正するアドバイザリが2026年8月28日に公開されました。開発元のOpen-Xchangeが出した「OXDC-ADV-2026-0003」で、最も深刻なものは10点満点で9.1のCVE-2026-42007です。

Dovecotは、届いたメールを保管し、利用者のメールソフトへ渡す役割を担うソフトです。送信を受け持つPostfixなどと組み合わせて使われ、社内メールサーバー、レンタルサーバー、プロバイダのメール基盤で広く動いています。自社でメールサーバーを立てている組織なら、まず入っていると考えて差し支えありません。

修正版はOX Dovecot CE 2.4.5、有償版のOX Dovecot Proは2.3.22.2 / 3.0.7 / 3.1.6です。25件のうち7件はログインしていない相手から成立します。ただし現時点で、公開された攻撃コードや実際の被害の報告は確認されていません。

もうひとつ、運用側が知っておく価値のある点があります。CVE購読で降りてくるのは25件のうち一部だけです。番号だけを機械的に追っていると全体像を取り逃がすため、開発元のアドバイザリ本体を見る必要があります。

何が起きるのか

CVE-2026-42007: メール振り分けの拡張から、解放済みのメモリに書き込まれる

25件で最も深刻な9.1です。Dovecotには「Sieve」という、届いたメールを条件に応じて振り分けたり書き換えたりするスクリプトの仕組みがあります。その中の、メールの見出し部分を編集する拡張機能に問題がありました。

開発元の説明では、有効な認証情報を持つ攻撃者がこの拡張を使ったスクリプトを仕込むと、編集処理の中で解放済みのメモリを触ってしまい、想定した範囲を越えてメモリの内容が配送されるメールへ書き込まれます。他の利用者のメールに紛れ込んでいた情報が、そのまま出てくる可能性があるということです。

影響が自分のアカウントの外へ及ぶと評価されている点が、この件の重さです。必要なのは有効な認証情報ひとつで、管理者権限は要りません。利用者が自分でSieveスクリプトを書ける構成——レンタルサーバーや、社内でフィルタ設定を開放しているメールサーバー——では、内部の1アカウントから成立します。

更新までのつなぎとして、開発元はSieveのeditheader拡張を無効にする回避策を挙げています。

ログインなしで効く7件

認証を持たない相手から成立するものが7件あります。深刻度の数字は9.1より低いものの、条件が緩いぶん実務では先に効いてきます。

CVE-2026-27852（7.5）は、メールを1通送りつけるだけで成立します。見出し部分に大量のメールアドレスや属性を詰め込んだメールを送ると、受信者がそれをメールソフトで開こうとしたときにメモリを食い潰し、処理が落ちます。メールは正常に配送されてしまうため、受信箱に残り続けます。メールアドレスが公開されている窓口ほど届きやすい種類のものです。

CVE-2026-42391（7.5）は、ログイン前に送れるIMAPのID命令に大量の引数を並べるだけで、メモリとCPUが不釣り合いに膨らみます。落ちたプロセスが扱っていた他の接続も道連れになるため、無関係な利用者のログインまで巻き込まれます。

CVE-2026-33605（7.5）は、Sieveスクリプトを遠隔で管理するManageSieveというサービスに、ログイン前の壊れた命令を送るだけでプロセスを落とせます。ここで動作モードによって被害の広さが変わります。無償版の既定である高セキュリティモードなら攻撃者自身の接続だけが切れますが、有償版の既定である高性能モードでは、同じプロセスが扱う全接続が切れます。有償版を使っている組織ほど影響が広い、という逆転が起きています。

CVE-2026-40018（7.4）は、利用者情報をMySQLで管理している構成で、マルチバイト文字の取り扱いを誤っていたというものです。日本語環境では文字コードの都合上、この種の問題が現実の入口になりやすい部類です。

CVE-2026-73208（7.4）は認証の回避につながります。外部の認証サービスと連携する構成で、権限の範囲を示す情報がトークンに含まれていないとき、本来は別物である宛先の情報を代わりに使って判定していました。結果として、何の権限も与えていないトークンで認証が通ってしまう場合があります。開発元は、認証サービス側の設定不備を覆い隠してしまう点も問題だとしています。

残る2件は、外部のメールサーバーに命令を紛れ込ませるCVE-2026-33604（5.9）と、ManageSieveを無限ループに陥らせるCVE-2026-40019（5.9）です。後者はDovecot 2.4.3で入り込んだ後退で、2.4.3以降のCEだけが対象です。

25件の一覧

深刻度の高い順に並べます。「認証」の列は、攻撃者にログインが必要かどうかです。

影響するバージョンと、直ったバージョン

下限が2.3.0であるものが多く、2.3系を使い続けている環境はほぼ全件が対象です。件数が25もあるのは、この機会に長く残っていたものをまとめて片付けたためで、8月に一斉に見つかったという意味ではありません。

件ごとに下限が違うものもあります。外部認証まわりの2件は2.3.13以上、Sieve関連の一部は2.3.11以上、といった具合です。ただし実務では、この差を細かく追うより「2.4.5（またはProの該当版）へ上げたか」で判断した方が早く、間違いも起きません。

なお、LinuxディストリビューションのパッケージでDovecotを入れている場合、番号は配布元が独自に振り直しています。上流の2.4.5という数字とは直接比較できないため、各ディストリビューションのセキュリティ情報で、この一連の番号に対する更新が提供されたかを確認してください。

使っているDovecotのバージョンを確認する

サーバー上で次のコマンドを実行します。

dovecot --version

設定も含めて詳しく見るなら、次が使えます。

dovecot -n | head -20

配布元のパッケージで入れている場合は、パッケージ側の版も控えておきます。

# RHEL / AlmaLinux / Rocky Linux
rpm -q dovecot

# Ubuntu / Debian
dpkg -l | grep dovecot

あわせて、動かしているサービスの範囲も確認しておくと優先順位が決めやすくなります。ManageSieveを外部へ開いていなければ関連する3件は成立しませんし、外部の認証サービスと連携していなければ、権限判定の2件は関係ありません。

# 待ち受けている口を見る（4190がManageSieveの既定）
ss -tlnp | grep -E '143|993|4190|24'

# 有効なプロトコルと認証方式を見る
dovecot -n | grep -E 'protocols|auth_mechanisms|passdb'

攻撃されているのか

開発元は25件すべてに「公開されている攻撃コードは知られていない」と明記しています。2026年8月28日時点で、実際の攻撃に使われたという報告も確認されていません。CISAが公開している、悪用が確認された脆弱性のカタログにも収載されていません。

アドバイザリの公開当日という段階であり、この状況が続くかどうかは分かりません。ただし25件の内訳を見ると、大半は動作を止める種類のもので、情報を抜き取るものや権限を乗っ取るものは限られます。攻撃者にとっての旨味という点では、他の脆弱性に比べて優先度が上がりにくい構成です。

注意すべきは、メールサーバーは止まった時点で業務が止まる、という性質の方です。情報が漏れなくても、朝から全社のメールが読めなければ実害は発生します。CISAのカタログに載っている案件はCISA KEV 日本語ダッシュボードで一覧できます。

何をすればいいか

修正版へ上げるのが本筋です。無償版なら2.4.5、有償版なら契約している系列の該当版へ。25件が1回の更新でまとめて片付きます。

今回のアドバイザリで実務的にありがたいのは、開発元が件ごとに回避策を書いている点です。すぐに更新できない環境では、こちらを組み合わせて時間を稼げます。ManageSieveを信頼できる相手だけに制限する、Sieveのeditheader拡張を切る、IMAPの圧縮を無効にする、休止機能を止める、管理用サービスへの接続元を絞る、信頼する中継サーバーの一覧を自社管理下のものだけに限る——といった内容です。

ただし、いずれも機能を止めたり性能を落としたりする副作用があります。たとえばログイン処理1つあたりの接続数を制限すれば、CVE-2026-42391の巻き添えは減りますが、そのぶん処理性能は落ちます。恒久策として据えるものではなく、更新までの数日をしのぐものと考えてください。

優先順位を付けるなら、外部から直接届くメールサーバーが最初です。次に、利用者が自分でSieveスクリプトを書ける構成のもの。社内ネットワークに閉じていて、フィルタ設定も管理者しか触れないサーバーは後回しで構いません。

更新の際は、メールの受信が数十秒止まります。送信側は再送してくれるため配送そのものは失われませんが、監視で即座に通報が飛ぶ設定になっている場合は、作業前に保守中の設定へ入れておくと余計な連絡が減ります。作業後は dovecot --version で版が変わったことと、実際にメールソフトから接続できることを確認します。

最後にひとつ。冒頭で触れたとおり、この25件のうちCVE購読の通知に載るのは一部です。今回のように開発元がまとめて出す形式では、番号を追うだけでは全体が見えません。メールサーバーを自前で持っているなら、Open-Xchangeのアドバイザリ一覧そのものを購読対象に入れておくのが確実です。

参照元

• ▸ Open-Xchange - OX Dovecot Security Advisory OXDC-ADV-2026-0003（2026年8月28日）
• ▸ NVD - CVE-2026-42007（Sieve editheader）
• ▸ NVD - CVE-2026-33605（ManageSieve ログイン前クラッシュ）
• ▸ NVD - CVE-2026-42391（IMAP ID命令）
• ▸ NVD - CVE-2026-73208（OAuth2 権限判定）
• ▸ Open-Xchange - Dovecot セキュリティアドバイザリ一覧