Hackere udnytter kritisk SQL-injektionssårbarhed i Roundcube

Angribere udnytter en SQL-injektionssårbarhed i Roundcube, som Webmail-projektet rettede i maj 2026, ifølge Canadian Centre for Cyber Security. Sårbarheden påvirker et plugin, der forbinder Roundcube med en database til brugeropslag.

Sårbarheden påvirker virtuser_query-pluginet

Sårbarheden, CVE-2026-48842, påvirker Roundcubes indbyggede virtuser_query-plugin. Dette plugin bruger databaseforespørgsler til at matche brugere med e-mailadresser.

En angriber kan forsøge at udnytte sårbarheden før login. Et vellykket angreb kan gøre det muligt at køre skadelige databasekommandoer, omgå autentificering og få adgang til data i Roundcube-databasen. Udnyttelsen er kompleks, men den kræver ikke, at en bruger klikker på et link eller foretager en anden handling.

Roundcube udgav rettelser i versionerne 1.6.16 og 1.7.1 og opfordrede administratorer til at opdatere deres servere.

Det canadiske cybercenter advarer om angreb

I september opdaterede Canadian Centre for Cyber Security sin tidligere sikkerhedsadvarsel. Centret sagde, at rapportering fra åbne kilder viste, at angribere udnyttede CVE-2026-48842 aktivt.

Sikkerhedsadvarslen identificerede ikke angriberne eller beskrev, hvor mange servere de havde kompromitteret. Den opfordrede administratorer til at sikre berørte installationer.

Shadowserver sporer mere end 523.000 Roundcube-instanser, der er eksponeret mod internettet. Dette tal repræsenterer synlige installationer, ikke antallet, der er sårbare over for netop denne sikkerhedsfejl. De tilgængelige data viser ikke, hvor mange der har modtaget rettelsen.

Administratorer kan opdatere eller deaktivere pluginet

Administratorer bør opdatere Roundcube til en rettet version. Hvis de ikke kan opgradere med det samme, kan de deaktivere eller fjerne virtuser_query-pluginet for at lukke denne angrebsvej.

Denne advarsel om SQL-injektion i Roundcube følger flere andre tilfælde, hvor angribere har udnyttet sårbarheder i Webmail. Tidligere i 2026 markerede CISA to separate Roundcube-sårbarheder som aktivt udnyttet.