Hackare utnyttjar kritisk SQL-injektionssårbarhet i Roundcube

Angripare utnyttjar en SQL-injektionssårbarhet i Roundcube som Webmail-projektet korrigerade i maj 2026, enligt Canadian Centre for Cyber Security. Sårbarheten påverkar ett insticksprogram som ansluter Roundcube till en databas för användarsökningar.

Sårbarheten påverkar insticksprogrammet virtuser_query

Sårbarheten, CVE-2026-48842, påverkar Roundcubes inbyggda insticksprogram virtuser_query. Detta insticksprogram använder databasfrågor för att matcha användare med e-postadresser.

En angripare kan försöka utnyttja sårbarheten innan inloggning. En lyckad attack kan göra det möjligt att köra skadliga databaskommandon, kringgå autentisering och få åtkomst till data i Roundcube-databasen. Utnyttjandet är komplext, men det kräver inte att en användare klickar på en länk eller utför någon annan åtgärd.

Roundcube släppte korrigeringar i versionerna 1.6.16 och 1.7.1 och uppmanade administratörer att uppdatera sina servrar.

Kanadensiskt cybercenter varnar för attacker

I september uppdaterade Canadian Centre for Cyber Security sin tidigare säkerhetsvarning. Myndigheten uppgav att rapportering från öppna källor visade att angripare utnyttjade CVE-2026-48842 aktivt.

Säkerhetsvarningen identifierade inte angriparna och beskrev inte hur många servrar de hade komprometterat. Den uppmanade administratörer att säkra berörda installationer.

Shadowserver spårar fler än 523 000 Roundcube-instanser som är exponerade mot internet. Den siffran representerar synliga installationer, inte antalet som är sårbara för just denna säkerhetsbrist. Tillgängliga data visar inte hur många som har fått korrigeringen.

Administratörer kan installera korrigeringen eller inaktivera insticksprogrammet

Administratörer bör uppdatera Roundcube till en korrigerad version. Om de inte kan uppgradera omedelbart kan de inaktivera eller ta bort insticksprogrammet virtuser_query för att stänga denna attackväg.

Denna varning om SQL-injektion i Roundcube följer flera andra fall där angripare har utnyttjat sårbarheter i Webmail. Tidigare under 2026 markerade CISA två separata Roundcube-sårbarheter som aktivt utnyttjade.