Roundcube bị khai thác lỗ hổng SQL injection trước xác thực
"Roundcube Webmail is affected by CVE-2026-48842, a pre-authentication SQL injection in the virtuser_query plugin impacting 1.6.x before 1.6.16 and 1.7.x before 1.7.1. The flaw, caused by a preg_replace() backslash escape bypass, can let unauthenticated attackers inject SQL and potentially expose mail account credentials and stored messages; patches were released in May 2026 and the issue is now reported as actively exploited in the wild."
Rủi ro chiếm quyền truy cập dữ liệu email, rò rỉ thông tin xác thực và truy vấn trái phép vào cơ sở dữ liệu; lỗ hổng đang được báo cáo là đã bị khai thác ngoài thực tế.
Có thể ảnh hưởng đến tính liên tục dịch vụ email, phát sinh sự cố rò rỉ dữ liệu và chi phí xử lý sự cố; các tổ chức dùng Roundcube cần ưu tiên vá lỗi để giảm gián đoạn.
Cơ quan An ninh mạng Canada cảnh báo Roundcube Webmail đang bị khai thác ngoài thực tế với lỗ hổng CVE-2026-48842. Đây là lỗi SQL injection trước xác thực trong plugin virtuser_query, ảnh hưởng đến Roundcube 1.6.x trước 1.6.16 và 1.7.x trước 1.7.1.
Theo mô tả kỹ thuật, lỗi xuất phát từ việc bypass escape backslash trong preg_replace(), cho phép kẻ tấn công chưa đăng nhập chèn câu lệnh SQL vào backend cơ sở dữ liệu. Hệ quả có thể là lộ thông tin đăng nhập email và thư đã lưu. Bản vá đã được phát hành từ tháng 5/2026 trong các phiên bản 1.6.16 và 1.7.1.
Shadowserver cho biết có hơn 523.000 phiên bản Roundcube đang lộ ra Internet, trong đó 10 máy chủ được gắn cờ dễ bị ảnh hưởng tính đến 23/9/2026. Do đây là dịch vụ email thường chứa dữ liệu nhạy cảm, quản trị viên nên kiểm tra phiên bản ngay, nâng cấp lên bản đã vá, rà soát log truy cập bất thường và hạn chế phơi bày dịch vụ ra Internet nếu không cần thiết. Với hệ thống chưa thể cập nhật ngay, cần tăng giám sát và ưu tiên cô lập các máy chủ có dấu hiệu bị khai thác.