Канадский центр кибербезопасности предупредил об активной эксплуатации уязвимости в Roundcube Webmail, которая уже устранена. Речь идет об уязвимости CVE-2026-48842 (оценка CVSS: 8.1) — SQL-инъекции до аутентификации в плагине virtuser_query для версий Roundcube Webmail 1.6.x до 1.6.16 и 1.7.x до 1.7.1. Проблема заключается в обходе экранирования обратной косой черты в функции preg_replace(), позволяющем злоумышленникам внедрять произвольные SQL-запросы без аутентификации. «Неаутентифицированные злоумышленники могут внедрять SQL в бэкенд базы данных Roundcube через плагин virtuser_query, потенциально раскрывая учетные данные почтовых ящиков и сохраненные сообщения», — заявили в SentinelOne. Исправления для уязвимости были выпущены Roundcube в мае 2026 года в составе версий 1.6.16 и 1.7.1. В обновлении, опубликованном на этой неделе, Центр кибербезопасности сообщил, что уязвимость активно эксплуатируется в реальных условиях, ссылаясь на сообщения из открытых источников. Дополнительные сведения об эксплуатации не раскрываются. Данные Shadowserver Foundation показывают, что более 523 000 экземпляров Roundcube доступны из интернета, при этом 10 из них были помечены как уязвимые хосты по состоянию на 23 сентября 2026 года. Уязвимости в Roundcube давно привлекают внимание злоумышленников, стремящихся получить доступ к конфиденциальной электронной переписке. В июле 2026 года Proofpoint сообщил, что обнаружил предполагаемого связанного с Китаем злоумышленника под кодовым названием UNK_MassTraction, который использовал известные уязвимости безопасности в Roundcube для доставки веб-оболочек или инструмента постэксплуатации VShell. Еще в феврале 2026 года две другие уязвимости в том же продукте (CVE-2025-49113 и CVE-2025-68461) были отмечены Агентством по кибербезопасности и защите инфраструктуры США (CISA) как активно эксплуатируемые.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
