⚠️ „Roundcube Webmail“ administratoriams – aktualus saugumo perspėjimas. Spalio 3 d. Singapūro kibernetinio saugumo agentūra (CSA) paskelbė, kad realiose atakose išnaudojama aukšto pavojingumo „Roundcube“ spraga CVE-2026-48842.
Pažeidžiamumas susijęs su „virtuser_query“ įskiepiu ir leidžia atlikti SQL injekciją dar prieš vartotojui autentifikuojantis. Paprastai tariant, pažeidžiamą serverį užpuolikas gali bandyti atakuoti net neturėdamas galiojančios paskyros ar slaptažodžio.
CVE-2026-48842 įvertinta 8,1 balo iš 10. CSA nurodo, kad pažeidžiamos „Roundcube Webmail“ 1.6.0–1.6.15 ir 1.7.0 versijos, o spraga buvo ištaisyta dar gegužę. Kadangi dabar jau pranešama apie aktyvų jos išnaudojimą, neatnaujintų sistemų administratoriams delsti nereikėtų.
Ką verta padaryti organizacijoms? Patikrinti naudojamą „Roundcube“ versiją ir įdiegtus įskiepius, atnaujinti sistemą iki naujausios palaikomos versijos bei peržiūrėti serverio žurnalus dėl neįprastos veiklos. Vien tai, kad pataisa išleista prieš kelis mėnesius, dar nereiškia, kad rizika išnyko – praktikoje aktyvus pažeidžiamumų išnaudojimas neretai prasideda ar tęsiasi gerokai po pataisų paskelbimo.
Šaltinis: https://www.csa.gov.sg/alerts-and-advisories/alerts/al-2026-131/
„Roundcube“ saugumo informacija: https://roundcube.net/news/security/