Канадският център за киберсигурност предупреди, за вече коригирана уязвимост в Roundcube Webmail, която се експлоатира активно в реални условия.
Въпросната уязвимост е CVE-2026-48842 (CVSS оценка: 8.1), представляваща SQL инжекция преди автентификация в плъгина virtuser_query на версии на Roundcube Webmail 1.6.x преди 1.6.16 и 1.7.x преди 1.7.1.
Проблемът произтича от заобикаляне на ескейпването на обратна наклонена черта в preg_replace(), което позволява на атакуващите да инжектират произволни SQL заявки без необходимост от автентификация.
„Неавтентифицирани атакуващи могат да инжектират SQL код в базата данни на Roundcube чрез плъгина virtuser_query, което потенциално може да разкрие идентификационни данни за пощенски акаунти и съхранени съобщения“, съобщиха от SentinelOne.
Корекциите за сигурност за уязвимостта бяха пуснати от Roundcube през май 2026 г. като част от версии 1.6.16 и 1.7.1.
В актуализация, споделена тази седмица, Канадският център за киберсигурност заяви, че уязвимостта се експлоатира активно в реални условия, цитирайки публично достъпни източници. Не са оповестени допълнителни подробности относно активността по експлоатацията.
Данни от Shadowserver Foundation показват, че има над 523 000 инстанции на Roundcube, достъпни в интернет, като 10 от тях са маркирани като уязвими хостове към 23 септември 2026 г.
Уязвимостите в Roundcube са привлекателна цел за киберпрестъпници, стремящи се да прихващат поверителна имейл комуникация. През юли 2026 г. Proofpoint съобщи, че е идентифицирала заподозрян злонамерен субект, свързан с Китай, с кодово име UNK_MassTraction, който експлоатира известни уязвимости в Roundcube за доставяне на web shell-ове или инструмент за последваща експлоатация, наречен VShell.
Още през февруари 2026 г. две други уязвимости в същия продукт (CVE-2025-49113 и CVE-2025-68461) бяха обозначени като активно експлоатирани от Агенцията за киберсигурност и инфраструктурна сигурност на САЩ (CISA).