Критическую уязвимость Roundcube начали активно эксплуатировать

Критическая уязвимость почтового веб-клиента Roundcube, устранённая ещё в мае, теперь активно эксплуатируется злоумышленниками. Об этом сообщил Канадский центр кибербезопасности, обновив своё майское предупреждение.

Roundcube Webmail — это браузерный IMAP-клиент, который тысячи сервисов используют как почтовый интерфейс по умолчанию, а его аудитория исчисляется миллионами пользователей. Клиент также предустановлен вместе с популярной панелью управления хостингом cPanel.

Что за уязвимость

В мае разработчики Roundcube закрыли брешь под идентификатором CVE-2026-48842, описав её как SQL-инъекцию без аутентификации во встроенном плагине virtuser_query, отвечающем за поиск пользователей в базе данных и сопоставление их с почтовыми адресами.

Успешная эксплуатация позволяет злоумышленнику без каких-либо привилегий обойти аутентификацию, внедрить и выполнить вредоносные команды к базе данных и похитить из неё информацию. Атака сложна в исполнении, но не требует участия жертвы. Разработчики настоятельно рекомендовали обновить серверы до версий 1.6.16 и 1.7.1.

Масштаб угрозы

Некоммерческая служба мониторинга Shadowserver отслеживает более 523 тысяч экземпляров Roundcube, доступных из интернета. Правда, неизвестно, сколько из них — приманки (honeypot) или уже обновлённые серверы.

В понедельник, спустя четыре месяца после выпуска патча, Канадский центр кибербезопасности обновил майское предупреждение, отметив, что, судя по открытым источникам, уязвимость эксплуатируется в реальных атаках. Тем, кто не может обновиться немедленно, рекомендуется отключить или удалить плагин virtuser_query, чтобы закрыть вектор атаки.

Уязвимости Roundcube давно привлекают внимание как киберпреступников, так и групп, связанных с государствами. Российская группировка Winter Vivern (TA473) использовала XSS-уязвимость нулевого дня (CVE-2023-5631) в атаках на европейские госструктуры, а APT28 эксплуатировала сразу несколько брешей для взлома почтовых систем украинских ведомств. В феврале CISA пометила ещё две уязвимости Roundcube как активно эксплуатируемые. С мая 2022 года агентство внесло в этот список уже 11 уязвимостей веб-почты Roundcube.

Источник: Bleeping Computer