Administratorzy korzystający z Roundcube Webmail powinni pilnie sprawdzić wersję swojej instalacji. Luka CVE-2026-48842, poprawiona jeszcze w maju, jest już wykorzystywana w realnych atakach. Problem dotyczy wbudowanego pluginu virtuser_query i może zostać wykorzystany przed zalogowaniem użytkownika.
Z tego artykułu dowiesz się:
- na czym polega CVE-2026-48842,
- których instalacji Roundcube dotyczy problem,
- dlaczego zagrożenie jest teraz pilniejsze niż kilka miesięcy temu,
- co powinien zrobić administrator serwera pocztowego.
CVE-2026-48842 jest już wykorzystywana w atakach
Kanadyjskie Centrum Cyberbezpieczeństwa zaktualizowało swój komunikat dotyczący Roundcube i poinformowało, że dostępne raporty wskazują na wykorzystywanie CVE-2026-48842 w rzeczywistych atakach.
Sama podatność nie jest nowa. Roundcube opublikował poprawkę 24 maja 2026 roku wraz z wersjami 1.6.16 i 1.7.1. Problem w tym, że część serwerów nadal może działać na starszym oprogramowaniu, a informacja o aktywnych atakach wyraźnie zwiększa ryzyko pozostawienia podatnej instalacji.
Na czym polega luka w Roundcube?
CVE-2026-48842 to podatność typu SQL Injection znajdująca się w pluginie virtuser_query. Wtyczka służy do wykonywania zapytań do bazy danych przy mapowaniu użytkowników i adresów e-mail.
Najważniejsze jest to, że atak może zostać przeprowadzony bez wcześniejszego uwierzytelnienia. Odpowiednio przygotowane żądanie może pozwolić atakującemu na manipulowanie zapytaniami SQL, a w konsekwencji m.in. uzyskanie dostępu do danych znajdujących się w bazie Roundcube.
Według opisu podatności jej wykorzystanie jest złożone, ale nie wymaga interakcji użytkownika. To odróżnia ją od wielu kampanii phishingowych, w których ofiara musi najpierw kliknąć link albo uruchomić załącznik.
Które wersje Roundcube są podatne?
Poprawka CVE-2026-48842 została wprowadzona w:
- Roundcube 1.6.16,
- Roundcube 1.7.1.
Od maja ukazały się jednak kolejne wydania bezpieczeństwa. Na początku września projekt Roundcube udostępnił już wersje 1.6.19 i 1.7.4. Zamiast aktualizować system jedynie do minimalnej wersji naprawiającej CVE-2026-48842, administrator powinien sprawdzić najnowsze stabilne wydanie dostępne dla swojej gałęzi i zastosować wszystkie późniejsze poprawki bezpieczeństwa.
Co powinien zrobić administrator?
Jeżeli Roundcube działa na własnym serwerze, warto sprawdzić przede wszystkim:
- wersję Roundcube – starsza niż 1.6.16 lub 1.7.1 wymaga aktualizacji,
- czy używany jest plugin
virtuser_query, - czy dostępne są nowsze aktualizacje bezpieczeństwa dla używanej gałęzi,
- logi serwera WWW i aplikacji pod kątem nietypowych żądań,
- czy panel webmail jest niepotrzebnie wystawiony publicznie bez dodatkowych zabezpieczeń.
Jeżeli aktualizacja nie może zostać wykonana od razu, jednym z tymczasowych sposobów ograniczenia ryzyka jest wyłączenie pluginu virtuser_query, o ile nie jest niezbędny w danej konfiguracji.
Roundcube często jest częścią hostingu, a nie osobną instalacją
Wiele osób korzysta z Roundcube bez świadomości, że właśnie ten program obsługuje ich webmail. Roundcube jest często instalowany razem z panelami hostingowymi i usługami poczty.
Jeśli korzystasz ze zwykłego hostingu współdzielonego, aktualizacją Roundcube najczęściej zajmuje się dostawca hostingu. W takim przypadku warto sprawdzić komunikaty usługodawcy lub zapytać, czy jego środowisko jest już zabezpieczone przed CVE-2026-48842.
Jeżeli natomiast sam administrujesz VPS-em lub serwerem pocztowym, odpowiedzialność za aktualizację zwykle spoczywa bezpośrednio na Tobie.
Nie odkładaj aktualizacji aplikacji dostępnych z internetu
Historia CVE-2026-48842 pokazuje dobrze znany schemat: luka zostaje naprawiona, przez kilka miesięcy część instalacji pozostaje nieaktualna, a później pojawiają się informacje o aktywnym wykorzystywaniu podatności.
Podobny problem dotyczy również systemów CMS. Niedawno opisywaliśmy na PTECH Click2Shell w WordPressie. W przypadku aplikacji dostępnych publicznie aktualizacje bezpieczeństwa nie powinny być traktowane jako opcjonalne poprawki odkładane na później.
Więcej o tym, dlaczego regularne poprawki są istotne, pisaliśmy także w poradniku czy warto aktualizować oprogramowanie.
