加拿大网络安全中心警告称，现已修补的 Roundcube Webmail 漏洞正在野外被积极利用。
所涉及的漏洞是 CVE-2026-48842（CVSS 分数：8.1），这是一个在 Roundcube Webmail 版本 1.6.x（1.6.16 之前）和 1.7.x（1.7.1 之前）中的 virtuser_query 插件的预认证 SQL 注入漏洞。
该问题源于 preg_replace() 的反斜杠转义绕过，允许攻击者在未进行身份验证的情况下注入任意 SQL 语句。
“未认证的攻击者可以通过 virtuser_query 插件将 SQL 注入到 Roundcube 的数据库后端，可能暴露邮件账户凭据和存储的消息，”SentinelOne 表示。
Roundcube 于 2026 年 5 月发布了针对该漏洞的修补程序，作为 1.6.16 和 1.7.1 的一部分。
在本周共享的更新中，网络中心表示，该安全漏洞正在野外被积极利用，引用了开源报告。没有披露有关利用活动的其他细节。
来自 Shadowserver 基金会的数据表明，超过 523,000 个 Roundcube 实例暴露在互联网上，截至 2026 年 9 月 23 日，其中 10 个被标记为易受攻击的主机。
Roundcube 中的漏洞一直是威胁行为者寻找敏感电子邮件通信的一个有吸引力的目标。2026 年 7 月，Proofpoint 表示，它识别出一个被称为 UNK_MassTraction 的疑似与中国相关的对手，利用 Roundcube 中已知的安全漏洞来交付 Web Shell 或称为 VShell 的后期利用工具。
早在 2026 年 2 月，两个其他在同一产品中的漏洞（CVE-2025-49113 和 CVE-2025-68461）被美国网络安全和基础设施安全局（CISA）标记为正在积极利用。
觉得这篇文章有趣吗？请在 Google 新闻、Twitter 和 LinkedIn 上关注我们，以阅读更多我们发布的独家内容。