Если вы держите вебмейл Roundcube или его держит ваш хостинг-провайдер, к этому стоит присмотреться сегодня. CVE-2026-48842 — это преаутентификационная SQL-инъекция в Roundcube, которую атакующий бьёт вообще без логина, и она под активной эксплуатацией в дикой природе. Roundcube выпустил фикс ещё в мае 2026. Проблема в разрыве между «патч есть» и «патч накатили», а на шаред-хостинге этот разрыв ровно то место, где вебмейл-инсталляции стоят и гниют.
Вебмейл это одна из самых стабильно заброшенных поверхностей на любом сервере. Его ставят один раз, выставляют в интернет навсегда, и потом никто его не трогает, пока что-нибудь не случится. Именно эту популяцию сейчас и бьют.
Уязвимость
Уязвимость сидит в плагине virtuser_query Roundcube, оценка 8.1 по CVSS. Первопричина — это обход экранирования обратного слеша в preg_replace(): ввод, который должен был быть нейтрализован, проскакивает мимо экранирования и доходит до SQL-запроса нетронутым. Поскольку затронутый путь достижим до аутентификации, атакующему не нужны ни аккаунт, ни учётные данные. По анализу SentinelOne, неаутентифицированный атакующий может внедрить SQL в бэкенд базы данных Roundcube через этот плагин, потенциально раскрывая учётные данные почтовых аккаунтов и хранимые сообщения.
Задумайтесь, что это открывает. База данных Roundcube держит ключи к почтовым ящикам, которые обслуживает: учётные данные аккаунтов и хранимое содержимое чужой почты. На шаред-хостинге одна вебмейл-инсталляция часто фронтит почту для многих клиентов, так что одна успешная инъекция — это не один ящик, а потенциально все аккаунты на этом инстансе. Почта к тому же — это вектор сброса паролей для всего остального, поэтому доступ к ящику редко становится концом истории.
Затронутые и исправленные версии
Уязвимые и пропатченные сборки узкие, поэтому проверьте свою версию точно:
| Ветка | Затронуто | Исправлено в |
|---|---|---|
| 1.6.x | до 1.6.16 | 1.6.16 |
| 1.7.x | до 1.7.1 | 1.7.1 |
Обновляйтесь как минимум до 1.6.16 или 1.7.1 на своей ветке. Если вебмейл пришёл в комплекте с хостинг-панелью, вендор панели может паковать Roundcube отдельно от собственных обновлений, поэтому проверьте реальную версию Roundcube, а не считайте, что свежая сборка панели её несёт.
Почему «пропатчено в мае» не значит, что вы в безопасности
Вот часть, которая имеет значение. Фикс существует уже месяцы, а значит эксплуатация, которую видят сейчас, целиком идёт против инсталляций, которые его так и не накатили. Хронология показательна:
- Май 2026: Roundcube выпустил патчи.
- Июль 2026: связанная с Китаем группа под трекингом UNK_MassTraction уже эксплуатировала известные уязвимости Roundcube.
- Сентябрь 2026: Канадский центр кибербезопасности подтвердил активную эксплуатацию этой уязвимости в дикой природе, ссылаясь на открытые источники.
Масштаб открытой поверхности — это и есть причина, по которой всё это остаётся выгодным для атакующих. Данные Shadowserver от 23 сентября насчитали более 523 000 инстансов Roundcube, достижимых из интернета. Это огромное поле целей, а вебмейл — это ровно тот софт, который поднимают и забывают. Связанные с государствами группы отдельно любят дыры Roundcube, потому что установочная база огромна, по построению смотрит в интернет и патчится медленно.
Что делать
- Обновитесь сейчас до 1.6.16 или 1.7.1, смотря какая у вас ветка. Замены патчу нет.
- Проверьте реальную версию. Не доверяйте ярлыку версии в панели. Подтвердите саму сборку Roundcube, а если обслуживаете почту клиентов, проверьте каждый инстанс, потому что бьют по тому единственному забытому.
- Считайте компрометацию до патча возможной на любом инстансе, который стоял открытым на уязвимой версии в промежутке с мая по сейчас. Поскольку добыча — это креды и содержимое сообщений, относитесь к экспозиции как к потенциальному доступу к данным, а не просто к пункту в списке патчей.
- Ротируйте почтовые креды на любом инстансе, который не можете исключить. Если база была достижима, считайте сгоревшими пароли аккаунтов и хранимые в ней сообщения.
- Просмотрите логи базы и доступа на аномальные запросы к бэкенду Roundcube и на необычную активность аутентификации на почтовых аккаунтах, которые он обслуживает.
Вывод
CVE-2026-48842 это не новый и не экзотический баг. Это обычная преаутентификационная SQL-инъекция с фиксом, доступным с мая, которую в сентябре эксплуатируют против полумиллиона с лишним инсталляций, так и не обновившихся. В этом весь урок: на инфраструктуре, смотрящей в интернет, ненакатанный патч тождествен отсутствию патча, а вебмейл — это поверхность, которая с наибольшей вероятностью крутится на прошлогодней версии. Обновитесь до 1.6.16 или 1.7.1, сверьте реальную версию и относитесь к любому инстансу, который был открыт, как к скомпрометированному ящику, пока не докажете обратное.
Если вы держите вебмейл или веб-приложения, смотрящие в интернет, и хотите не гипотезу, а факт о том, пропатчены ли вы и не задело ли вас, это наша повседневная работа: пентест веб-приложений, сканирование уязвимостей и комплексная защита сайта от взлома.