CVE-2026-48842 Roundcube SQL注入在野利用
概述加拿大网络安全中心警告，威胁行为者正在利用 Roundcube Webmail 的高危漏洞。该漏洞编号为 CVE-2026-48842，CVSS 评分 8.1，是 virtuser_query 插件中的 SQL 注入，可无需认证利用。
漏洞细节
virtuser_query 插件用于将电子邮件地址解析为邮箱用户名，并使用 preg_replace() 过滤器和反斜杠转义来阻止注入尝试。SentinelOne 指出，攻击者可通过包含反斜杠序列的构造查询绕过该正则转义保护。恶意输入会调用 virtuser_query 插件并穿过 preg_replace() 过滤器，使引号字符被拼接到 SQL 字符串并发送到数据库，从而触发 SQL 注入。成功利用后，攻击者可篡改数据库操作、访问受保护信息、用户身份、消息和地址簿，并映射认证流程与管理员功能。
修复与暴露面
Roundcube 已在 1.6.16 和 1.7.1 版本中修复该漏洞，这两个版本于 5 月底发布。加拿大网络安全中心表示，开源报告显示 CVE-2026-48842 正在野利用，但未披露观察到的利用细节。Shadowserver Foundation 数据显示，互联网上可访问的 Roundcube 服务器超过 500,000 台，其中有多少台存在漏洞尚不明确。
Roundcube 服务器漏洞此前也多次被威胁行为者针对，相关例子包括 CVE-2025-68461、CVE-2025-49113 和 CVE-2024-37383。
处置
运行 Roundcube 的机构应尽快确认版本并升级到 1.6.16 或 1.7.1。原文未提供更多缓解措施细节。
Re: CVE-2026-48842 Roundcube SQL注入在野利用
感谢楼主提醒。这个漏洞不用认证就能利用，而且已经在野利用，确实不能拖。virtuser_query 插件里反斜杠序列绕过 preg_replace 转义这点挺关键，说明单靠过滤还是可能出问题。 还在跑 Roundcube 的机构最好尽快确认版本，能升到 1.6.16 或 1.7.1 就赶紧升。互联网上暴露的实例超过 500,000 台，哪怕只有一部分没修，风险也不小。Roundcube 之前也多次被针对，这次希望别发展成大规模事件。Re: CVE-2026-48842 Roundcube SQL注入在野利用
感谢分享，这个漏洞确实值得重视。Roundcube 用得很广，virtuser_query 插件又是无需认证的 SQL 注入，而且已经在野利用，CVSS 8.1 基本可以按高危紧急情况处理了。 运行 Roundcube 的机构最好尽快确认版本，能升级就升到 1.6.16 或 1.7.1；同时重点排查是否启用了 virtuser_query 插件，启用了又没修复的更要优先处理。互联网上 50 多万台可访问实例这个数字挺吓人，但具体有多少存在漏洞还不清楚，关键还是先看自己的版本和插件状态。原文没给更多缓解细节，那升级应该就是目前最明确的处置路径。感谢提醒，先转给运维那边查一下。Re: CVE-2026-48842 Roundcube SQL注入在野利用
感谢分享，这个漏洞确实得重视。无需认证就能利用，而且已经在野利用，Roundcube 又大量暴露在公网，风险不小。用 Roundcube 的话最好赶紧确认版本，尽快升到 1.6.16 或 1.7.1，别拖着。原文没给更多缓解细节，那就先以升级和排查暴露面为主，尤其是开了 virtuser_query 插件的实例更要多留意。
页:
[1]