Roundcube'ta kimlik doğrulama öncesi SQL enjeksiyonu aktif olarak sömürülüyor

Roundcube Webmail'de yamalanmış bir SQL enjeksiyonu güvenlik açığı, Kanada siber güvenlik merkezinin bu haftaki uyarısına göre açık kaynaklı raporlara dayanarak aktif biçimde sömürülüyor.

Açık nedir

Söz konusu açık CVE-2026-48842 olarak izleniyor ve CVSS puanı 8,1. Roundcube Webmail'in virtuser_query eklentisinde kimlik doğrulama öncesi SQL enjeksiyonu söz konusu; 1.6.16 öncesi 1.6.x sürümleri ile 1.7.1 öncesi 1.7.x sürümleri etkileniyor.

Sorun, preg_replace() işlevindeki ters eğik çizgi kaçış atlatmasından kaynaklanıyor; bu, saldırganların kimlik doğrulaması olmadan rastgele SQL ifadeleri enjekte etmesine izin veriyor.

Ne açığa çıkabilir

SentinelOne etkiyi şöyle tanımladı: „Kimliği doğrulanmamış saldırganlar virtuser_query eklentisi üzerinden Roundcube'un veritabanına SQL enjekte edebilir ve posta hesabı kimlik bilgileri ile saklanan mesajları açığa çıkarabilir.“

Roundcube birçok kuruluşta web posta arayüzü olarak kullanıldığı için başarılı bir enjeksiyon, kurumun posta hizmetinin arkasındaki veritabanına ulaşır.

Yama ve maruz kalma

Roundcube düzeltmeleri Mayıs 2026'da 1.6.16 ve 1.7.1 sürümleriyle yayımladı. Shadowserver Foundation verilerine göre internete açık 523.000'den fazla Roundcube kurulumu bulunuyor; bunlardan 10'u 23 Eylül 2026 itibarıyla savunmasız ana bilgisayar olarak işaretlendi.

Tanıdık bir hedef

Roundcube, posta avına çıkan saldırganların tekrar tekrar hedefi oldu. Temmuz 2026'da Proofpoint, Çin bağlantılı olduğu düşünülen UNK_MassTraction adlı aktörün bilinen Roundcube açıklarını web shell veya VShell adlı sömürü sonrası aracını bırakmak için kullandığını bildirdi. Şubat 2026'da CISA, aynı üründeki iki açığı daha, CVE-2025-49113 ve CVE-2025-68461'i aktif olarak sömürülen açıklar listesine ekledi. Merkezin güncellemesinde süregelen sömürüye ilişkin ek ayrıntı verilmedi.