Podatność SQL injection w Roundcube, załatana w maju 2026 r., jest już aktywnie wykorzystywana

Kanadyjskie Cyber Centre ostrzega, że podatność CVE-2026-48842 w Roundcube, poprawiona w wersjach 1.6.16 i 1.7.1, jest wykorzystywana przez atakujących. Umożliwia nieuwierzytelnione SQL injection.

Kanadyjskie Centrum Cyberbezpieczeństwa (Cyber Centre) uzupełniło 21 września 2026 r. swój majowy komunikat o Roundcube: według doniesień z otwartych źródeł podatnośćPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. CVE-2026-48842 jest wykorzystywana w atakach. Roundcube to otwartoźródłowy, samodzielnie hostowany webowy klient poczty. Luka pozwala na SQL injectionSQL injection Podatność, która pozwala wstrzyknąć do bazy danych własne zapytania, w opisanym przypadku bez uwierzytelnienia. bez uwierzytelnienia, czyli wstrzykiwanie zapytań do bazy danych bez logowania, i ma ocenę 8,1 w skali CVSSCVSS Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach.. Dotyczy pluginu virtuser_query w wersjach 1.6.x przed 1.6.16 oraz 1.7.x przed 1.7.1, a poprawki Roundcube wydał 24 maja 2026 r. Żadne z trzech źródeł nie podaje szczegółów samych ataków.

Przyczyną jest funkcja preg_replace(), do której trafiała treść już po escapowaniu, czyli po odfiltrowaniu znaków pozwalających wstrzyknąć zapytanie do bazy. Funkcja ta inaczej interpretuje niektóre znaki, zwłaszcza backslash, więc odpowiednio spreparowany payload pozwalał wstrzyknąć dowolne polecenia SQL. Firma SentinelOne, którą cytuje The Hacker News, ocenia, że może to ujawnić dane logowania do kont pocztowych i przechowywane wiadomości.

Według danych Shadowserver Foundation, na które powołuje się The Hacker News, do internetu wystawionych jest ponad 523 tys. instancji Roundcube, a według stanu na 23 września 2026 r. dziesięć z nich oznaczono jako podatne. Ten sam portal przypomina, że luki w Roundcube przyciągają atakujących, którzy chcą przechwytywać korespondencję. W lipcu 2026 r. Proofpoint opisał grupę UNK_MassTraction, podejrzewaną o powiązania z Chinami, która wykorzystywała znane luki w Roundcube do instalowania webshelli i narzędzia VShell. W lutym 2026 r. amerykańska CISACISA Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC. oznaczyła jako aktywnie wykorzystywane dwie inne luki w tym programie: CVE-2025-49113 i CVE-2025-68461.

Sekurak zwraca uwagę, że dostęp do webmaila pozwala wykraść treść wiadomości i załączniki, podszyć się pod właściciela konta, a przez funkcję resetu hasła przejąć też inne jego konta. Jeśli Twój podmiot udostępnia Roundcube na własnym serwerze, sprawdź wersję i potwierdź, że jest to co najmniej 1.6.16 albo 1.7.1. Z Roundcube można też korzystać nieświadomie: według Sekuraka małe firmy często używają poczty od dostawcy hostingu, który utrzymuje dla klientów taką instancję. Aktualizacje leżą wtedy po stronie dostawcy, ale zapytaj go, jak to u niego wygląda. Sekurak sugeruje też schowanie takich narzędzi za VPNWirtualna sieć prywatna Virtual Private Network: szyfrowany tunel, którym pracownik albo oddział łączy się z siecią firmy przez internet. Brama VPN wystawiona do internetu to częsty cel ataków., zastrzegając, że w przypadku klienta poczty nie rozwiązuje to wszystkich problemów.

Aktualizacja z 13 października 2026

Debian Security Tracker pokazuje, że poprawka CVE-2026-48842 trafiła do pakietów roundcube w trzech wydaniach dystrybucji, o czym w opublikowanym tekście nie pisałem. Dla bullseye jest to wersja 1.4.15+dfsg.1-1+deb11u9 (ogłoszenie DLA-4604-1), dla bookworm 1.6.5+dfsg-1+deb12u9, a dla trixie 1.6.16+dfsg-0+deb13u1 (oba w ogłoszeniu DSA-6301-1). Tracker oznacza jako poprawione także nowsze pakiety: 1.6.5+dfsg-1+deb12u12 w bookworm (security) i 1.6.19+dfsg-0+deb13u1 w trixie (security).

Praktyczna konsekwencja dotyczy sprawdzania wersji. Jeśli Roundcube działa u Ciebie z pakietu Debiana, numer zaczynający się od „1.6.5” nie oznacza sam z siebie podatnej instalacji, bo w bookworm poprawioną wersją jest 1.6.5+dfsg-1+deb12u9 lub nowsza. Próg 1.6.16 albo 1.7.1 z mojego tekstu dotyczy wydań pobranych od Roundcube. Przy pakiecie systemowym porównaj pełny numer wydania z tabelą w trackerze.

Źródła

• Canadian Centre for Cyber Security: Roundcube security advisory (AV26-503) - Update 1
• The Hacker News: Roundcube Pre-Auth SQL Injection Flaw Actively Exploited in the Wild
• Sekurak: Zaobserwowano wykorzystanie podatności SQL injection w Roundcube
• Debian Security Tracker: CVE-2026-48842

Pojęcia w tym tekście (5)

Podatność

Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.

SQL injection

Podatność, która pozwala wstrzyknąć do bazy danych własne zapytania, w opisanym przypadku bez uwierzytelnienia.

CVSS

Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach.

CISA

Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC.

Wirtualna sieć prywatna

Virtual Private Network: szyfrowany tunel, którym pracownik albo oddział łączy się z siecią firmy przez internet. Brama VPN wystawiona do internetu to częsty cel ataków.

Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych 12 października 2026; tekst sprawdził i zatwierdził autor przed publikacją.