Zaobserwowano wykorzystanie podatności SQL injection w Roundcube

Roundcube to otwartoźródłowy, samodzielnie hostowany webowy klient poczty. Stanowi wygodny sposób na dostęp do własnego serwera mailowego bez konfiguracji konta w standardowej aplikacji jak np. Outlook czy Thunderbird. Jak wiele podobnych projektów, na bieżąco otrzymuje on aktualizacje zawierające łatki zabezpieczeń.

TLDR:

• W Roundcube wykryto podatność CVE-2026-48842 umożliwiającą nieuwierzytelnione SQL injection. Problem dotyczył pluginu virtuser_query i wynikał z niewłaściwej obsługi backslashy przez preg_replace().
• Luka została załatana w maju 2026 r. w wersjach 1.6.16 i 1.7.1, ale Kanadyjskie Cyber Centre ostrzega, że jest obecnie aktywnie wykorzystywana.
• Według danych Shadowserver Foundation ponad 523 tys. instancji Roundcube jest wystawionych do internetu, a 10 z nich zostało oznaczonych jako podatne.
• Właściciele instancji Roundcube powinni upewnić się, że korzystają z aktualnej wersji. W przypadku usług hostingowych warto sprawdzić, czy dostawca aktualizuje instancję.

Kanadyjskie Centrum Cyberbezpieczeństwa (Cyber Centre) ostrzega, że załatana już w maju podatność w Roundcube jest aktywnie wykorzystywana przez atakujących.

Mowa o SQL injection – luka ta, oznaczona jako CVE-2026-48842 i oceniona na 8,1 w skali CVSS – pozwalała na wstrzykiwanie zapytań do bazy danych bez uwierzytelnienia. Problematyczny okazał się plugin virtuser_query w wersjach 1.6.x przed 1.6.16 oraz 1.7.x przed 1.7.1.

Problemem było użycie funkcji preg_replace(), do której trafiała treść już po wykonaniu operacji escape (czyli po odfiltrowaniu znaków pozwalających wstrzyknąć do silnika bazy złośliwe zapytanie). Oczyszczona uprzednio treść była przekazywana do preg_replace(), a funkcja ta inaczej interpretuje niektóre znaki – w szczególności backslash (\). Odpowiednio spreparowany payload pozwalał w efekcie wstrzykiwać dowolne polecenia SQL do bazy danych.

Twórcy Roundcube załatali tę podatność w wersjach 1.6.16 i 1.7.1 wydanych w maju 2026 r. Kanadyjskie Cyber Centre ostrzega jednak, że luka jest wykorzystywana przez atakujących. Nie ujawniono żadnych dodatkowych szczegółów dotyczących tej aktywności.

Dane z Shadowserver Foundation, na które powołał się portal The Hacker News, pokazują że funkcjonuje ponad 523 tys. instancji Roundcube, z czego – według stanu na 23 września 2026 r. – 10 zostało oznaczonych jako podatne.

Możliwość uzyskania dostępu do webmaila może być atrakcyjna dla atakujących, ponieważ umożliwia nie tylko wykradzenie informacji z treści/załączników oraz podszywanie się pod właściciela konta, ale także uzyskanie dostępu do innych kont ofiary (przez funkcję resetu hasła – jednorazowy kod/link przychodzi wtedy zazwyczaj na maila).

Już w lutym 2026 roku dwie inne luki w Roundcube (CVE-2025-49113 i CVE-2025-68461) zostały oznaczone przez amerykańską Agencję ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) jako aktywnie wykorzystywane.

Użytkownikom oczywiście zalecamy aktualizację do najnowszej wersji (jeśli jeszcze tego nie zrobiliście). Warto na bieżąco dbać o utrzymywanie wykorzystywanego oprogramowania (poprzez aplikowanie łatek), a szczególnie takiego wystawionego “do internetu”. Organizacjom jak zawsze sugerujemy schowanie tego typu narzędzi za VPN, chociaż w przypadku klienta poczty nie rozwiązuje to wszystkich problemów.

Roundcube jest o tyle specyficzną aplikacją, że można nieświadomie z niej korzystać. Dotyczy to z reguły małych firm, które korzystają z poczty zapewnianej przez dostawcę hostingu. Nawet przy skonfigurowanych programach do obsługi poczty, często hosting utrzymuje instancję Roundcube dla swoich klientów. W takim przypadku regularne aktualizacje leżą po stronie firmy hostingowej, ale warto zorientować się, jak to wygląda, jeżeli korzystamy z takich usług. 

Źródła:

• thehackernews.com
• roundcube.net
• cyber.gc.ca

~Tymoteusz Jóźwiak