Критичен проблем със сигурността, засягащ Roundcube Webmail, в момента се експлоатира активно, което налага администраторите спешно да обновят изложените инсталации.
Канадският център за киберсигурност заяви, че публични доклади потвърждават активната експлоатация на CVE-2026-48842 – уязвимост за SQL инжекция, засягаща внедрявания на Roundcube Webmail, работещи с уязвими версии.
Roundcube публикува бюлетини за сигурност на 24 май 2026 г., адресиращи множество пропуски в своята платформа за уеб поща с отворен код. Засегнатите версии включват Roundcube Webmail преди 1.6.16 в клона с дългосрочна поддръжка (LTS) и версии преди 1.7.1 в по-новия клон.
Канадският център за киберсигурност обнови сигурностното си предупреждение AV26-503 на 21 септември 2026 г., предупреждавайки, че атакуващите злоупотребяват с CVE-2026-48842. Уязвимостта е описона като предин автентикационна SQL инжекция в плъгина virtuser_query на Roundcube.
Проблемът произтича от заобикаляне на защитата при ескейпване на обратна наклонена черта в PHP функцията preg_replace. Атакуващ може да изпрати специално форматиран вход, за да манипулира заявка към базата данни, преди успешно да се впише в приложението за уеб поща.
Уязвимост за SQL инжекция в Roundcube Webmail се експлоатира активно
Грешките, възникващи преди автентикация, са изключително сериозни, тъй като на киберпрестъпника не са му необходими валидни идентификационни данни, за да започне атака. Ако уязвимият плъгин е активиран и достъпен, експлоатацията може да позволи на атакуващ да се намеси в операциите с базата данни или да достъпи информация, която трябва да остане защитена.
Версията за сигурност 1.6.16 на Roundcube конкретно отстранява уязвимостта от тип SQL инжекция в плъгина virtuser_query. Екипът на проекта заяви, че актуализацията е предназначена за производствени инсталации от клона 1.6.x и препоръча организациите да архивират данните си, преди да инсталират корекциите за сигурност.
Преминаването от разкрита уязвимост към потвърдена експлоатация увеличава спешността за организациите, използващи Roundcube Webmail.
Имейл платформите с достъп до интернет са ценни цели, тъй като могат да разкрият потребителски самоличности, съобщения, адресни книги, работни процеси за автентикация и административни функции.
Атакуващите често се насочват към сървъри за уеб поща, за да получат първоначален достъп, да събират компрометирани пароли, да откраднат поверителна комуникация или да подпомогнат последващи фишинг атаки и компрометиране на бизнес имейли (BEC). Публичната активност по експлоатация увеличава и шанса от нападения от страна на злонамерени субекти, които сканират интернет за некоригирани инсталации на Roundcube.
Администраторите трябва незабавно да идентифицират всички инсталации на Roundcube, включително системи, поддържани от доставчици на хостинг услуги или управлявани услуги (MSP).
Организациите трябва да потвърдят инсталираната версия, да определят дали плъгинът virtuser_query е активиран и да преминат към Roundcube Webmail 1.6.16 или 1.7.1 според случая.
Екипите по сигурност трябва да инсталират корекциите за сигурност от производителя възможно най-скоро и да дадат приоритет на всеки сървър с Roundcube, изложен директно в интернет.
Те трябва също така да прегледат логовете на уеб сървъра, приложението, базата данни и автентикацията за необичайни заявки, провалени SQL заявки, неочаквани съобщения за грешки или съмнителна активност, засягаща крайните точки на Roundcube.
Организациите трябва да ограничат административния достъп, да внедрят двуфакторна автентикация (MFA), където поддържа, да поддържат тествани резервни копия и да гарантират, че акаунтите в базата данни на Roundcube разполагат само с минимално необходимите права.
Екипите за мрежов мониторинг трябва да разследват необичаен изходящ трафик или съмнителен достъп до пощенски кутии при съмнение за компрометиране.
Канадският център за киберсигурност насърчава потребителите и администраторите да прегледат наличните бюлетини за сигурност на Roundcube и незабавно да инсталират необходимите обновления.