Hacker nutzen kritische SQL-Injection-Sicherheitslücke in Roundcube aus

Angreifer nutzen eine SQL-Injection-Sicherheitslücke in Roundcube aus, die das Webmail-Projekt im Mai 2026 behoben hat, wie das Canadian Centre for Cyber Security berichtet. Die Schwachstelle betrifft ein Plugin, das Roundcube für Benutzerabfragen mit einer Datenbank verbindet.

Schwachstelle betrifft das virtuser_query-Plugin

Die Sicherheitslücke CVE-2026-48842 betrifft das integrierte virtuser_query-Plugin von Roundcube. Dieses Plugin verwendet Datenbankabfragen, um Benutzer E-Mail-Adressen zuzuordnen.

Ein Angreifer kann versuchen, die Schwachstelle vor der Anmeldung auszunutzen. Ein erfolgreicher Angriff könnte es ihm ermöglichen, schädliche Datenbankbefehle auszuführen, die Authentifizierung zu umgehen und auf Daten in der Roundcube-Datenbank zuzugreifen. Die Ausnutzung ist komplex, erfordert jedoch nicht, dass ein Benutzer auf einen Link klickt oder eine andere Aktion ausführt.

Roundcube veröffentlichte Korrekturen in den Versionen 1.6.16 und 1.7.1 und forderte Administratoren auf, ihre Server zu aktualisieren.

Kanadisches Cyberzentrum warnt vor Angriffen

Im September aktualisierte das Canadian Centre for Cyber Security seine frühere Sicherheitswarnung. Demnach zeigten Berichte aus offenen Quellen, dass Angreifer CVE-2026-48842 aktiv ausnutzen.

Die Sicherheitswarnung identifizierte weder die Angreifer noch gab sie an, wie viele Server kompromittiert wurden. Sie forderte Administratoren dazu auf, betroffene Installationen abzusichern.

Shadowserver verfolgt mehr als 523.000 Roundcube-Instanzen, die über das Internet erreichbar sind. Diese Zahl steht für sichtbare Installationen und nicht für die Anzahl der Systeme, die speziell für diese Schwachstelle anfällig sind. Die verfügbaren Daten zeigen nicht, wie viele davon bereits die Korrektur erhalten haben.

Administratoren können patchen oder das Plugin deaktivieren

Administratoren sollten Roundcube auf eine korrigierte Version aktualisieren. Falls sie nicht sofort ein Upgrade durchführen können, können sie das virtuser_query-Plugin deaktivieren oder entfernen, um diesen Angriffsweg zu schließen.

Diese Warnung vor SQL-Injection in Roundcube folgt auf mehrere andere Fälle, in denen Angreifer Webmail-Schwachstellen ausgenutzt haben. Anfang 2026 stufte CISA zwei weitere Roundcube-Sicherheitslücken als aktiv ausgenutzt ein.