Уязвимость SQL-инъекции в Roundcube активно эксплуатируется злоумышленниками, затрагивая более 523 000 веб-приложений. По данным Канады Центра кибербезопасности, уязвимость (CVE-2026-48842, CVSS 8.1) позволяет атакующим вводить произвольные SQL-запросы без аутентификации. Это может привести к компрометации учетных записей электронной почты.
Предыстория уязвимости
Проблема была выявлена в плагине virtuser_query для версий Roundcube 1.6.x до 1.6.16 и 1.7.x до 1.7.1. Уязвимость связана с обходом экранирования в функции preg_replace(), что и дало возможность осуществлять SQL-инъекции. Патчи были внедрены разработчиками Roundcube в мае 2026 года, но, судя по новой информации, не все пользователи успели обновить свои версии.
Масштабы эксплуатации
Кроме того, по данным Shadowserver Foundation, среди обнаруженных уязвимых инстансов Roundcube, 10 систем отмечены как критически рисковые. Зафиксировано, что злоумышленники использовали уязвимости Roundcube и ранее, как показал случай с группировкой UNK_MassTraction, которая разрабатывала инструменты для масштабных атак.
«Неаутентифицированные злоумышленники могут вводить SQL-запросы в базу данных Roundcube через плагин virtuser_query», — заявил представитель компании SentinelOne. Это создает прямую угрозу для конфиденциальности данных пользователей.
Рекомендации и действия
Для организаций, использующих Roundcube, настоятельно рекомендуется обновить систему до последних версий (1.6.16 или 1.7.1) для защиты от возможных атак. Не стоит игнорировать обновления: уязвимости в Roundcube становятся все более привлекательными для киберпреступников.
Прогнозы аналитиков показывают, что если интерес к данным уязвимостям продолжится, количество атак может возрасти в разы, что потребует от компаний повышения уровня защиты.