⚠️ Organizacijoms, naudojančioms „Roundcube Webmail“, verta dar kartą patikrinti savo sistemas. Kanados kibernetinio saugumo centras rugsėjo 21 d. atnaujino perspėjimą ir nurodė, kad CVE-2026-48842 pažeidžiamumas jau išnaudojamas realiose atakose.
CVE-2026-48842 yra autentifikavimo nereikalaujanti SQL injekcijos spraga „virtuser_query“ papildinyje. Paprastai tariant, pažeidžiamoje konfigūracijoje užpuolikas gali specialiai suformuotais duomenimis paveikti duomenų bazės užklausas net neprisijungęs prie sistemos.
„Roundcube“ šią spragą ištaisė dar gegužę, išleisdamas 1.6.16 ir 1.7.1 versijas, tačiau dabar atsiradęs patvirtinimas apie aktyvų išnaudojimą suteikia atnaujinimui gerokai didesnį prioritetą. Be to, nuo tada jau paskelbti naujesni saugumo leidimai – 1.6.19 ir 1.7.4.
Ką verta padaryti administratoriams? Patikrinti naudojamą „Roundcube“ versiją ir konfigūraciją, įdiegti naujausią palaikomą saugumo leidimą bei, jei sistema galėjo būti pažeidžiama, peržiūrėti žurnalus dėl neįprastos veiklos. Internetu pasiekiamų el. pašto sistemų atnaujinimų atidėlioti ypač neverta.
Šaltiniai:
https://www.cyber.gc.ca/en/alerts-advisories/roundcube-security-advisory-av26-503
https://roundcube.net/news/2026/05/24/security-updates-1.6.16-and-1.7.1
https://roundcube.net/news/2026/09/06/security-updates-1.6.19-and-1.7.4