Roundcube Webmail-də autentifikasiyadan əvvəl SQL inyeksiyası aktiv istifadə olunur

Roundcube Webmail-də düzəldilmiş SQL inyeksiyası boşluğu real hücumlarda aktiv istifadə olunur; bunu bu həftə Kanadanın kibertəhlükəsizlik mərkəzi açıq mənbələrə istinadla xəbərdar edib.

Boşluq nədir

Söhbət CVE-2026-48842-dən gedir, onun CVSS balı 8,1-dir. Bu, Roundcube Webmail-in virtuser_query plaqinində autentifikasiyadan əvvəl SQL inyeksiyasıdır. 1.6.16-dan əvvəlki 1.6.x versiyaları və 1.7.1-dən əvvəlki 1.7.x versiyaları həssasdır.

Problem preg_replace() funksiyasındakı backslash escape-in yan keçməsindən yaranır və hücumçulara autentifikasiya olmadan ixtiyari SQL ifadələri yeritməyə imkan verir.

Nə aşkara çıxa bilər

SentinelOne təsiri belə təsvir edib: „Autentifikasiyadan keçməmiş hücumçular virtuser_query plaqini vasitəsilə Roundcube-un verilənlər bazasına SQL yeridə və poçt hesablarının məlumatlarını və saxlanmış mesajları aşkara çıxara bilər“.

Roundcube bir çox təşkilatda veb-poçt interfeysi kimi istifadə olunduğundan, uğurlu inyeksiya poçt xidmətinin arxasındakı verilənlər bazasına çıxış yaradır.

Düzəliş və məruz qalma

Roundcube düzəlişləri 2026-cı ilin mayında 1.6.16 və 1.7.1 versiyalarında buraxıb. Shadowserver Foundation məlumatlarına görə, internetə açıq 523 000-dən çox Roundcube quraşdırması var və onlardan 10-u 23 sentyabr 2026-cı il tarixinə həssas host kimi qeyd olunub.

Tanış hədəf

Roundcube poçt ovlayan hücumçuların dəfələrlə hədəfi olub. 2026-cı ilin iyulunda Proofpoint Çinlə əlaqəli olduğu güman edilən UNK_MassTraction adlı aktorun Roundcube-un məlum boşluqlarından web shell və ya VShell adlı post-exploitation alətini yerləşdirmək üçün istifadə etdiyini bildirib. 2026-cı ilin fevralında CISA eyni məhsuldakı daha iki boşluğu, CVE-2025-49113 və CVE-2025-68461-i aktiv istifadə olunan boşluqlar siyahısına salıb. Mərkəzin yenilənmiş xəbərdarlığında hazırkı hücumlar barədə əlavə məlumat verilməyib.