Se ha detectado que atacantes están explotando activamente una vulnerabilidad crítica de inyección SQL (CVE-2026-48842) en Roundcube Webmail, que permite saltar la autenticación y robar datos. Aunque existe un parche desde mayo, miles de servidores siguen expuestos, por lo que se insta a los administradores a actualizar a las versiones 1.6.16 o 1.7.1. Como medida alternativa, se recomienda desactivar el plugin `virtuser_query` para eliminar el vector de ataque.



Una vulnerabilidad de alta gravedad de Roundcube Webmail parcheada en mayo está siendo explotada activamente en ataques, según el Centro Canadiense de Ciberseguridad.

Roundcube Webmail es un cliente de correo electrónico IMAP basado en el navegador utilizado como interfaz de correo predeterminada por miles de servicios con millones de usuarios, y viene preinstalado con el ampliamente utilizado panel de control de hosting web cPanel.

En mayo, el equipo de seguridad de Roundcube parcheó el fallo https://roundcube.net/news/2026/05/24/security-updates-1.6.16-and-1.7.1 (rastreado como CVE-2026-48842), describiéndolo como una inyección SQL pre-autenticada en el plugin integrado virtuser_query, que gestiona las búsquedas de usuarios basadas en bases de datos y mapea usuarios a direcciones de correo electrónico.

Una explotación exitosa puede permitir que actores de amenazas sin privilegios evadan la autenticación, inyecten y ejecuten comandos de base de datos maliciosos y roben datos de la base de datos de Roundcube en ataques de alta complejidad que no requieren interacción del usuario.

Roundcube también recomendó "encarecidamente" que los usuarios actualicen sus servidores a las versiones 1.6.16 y 1.7.1, que solucionan esta vulnerabilidad.

La organización sin fines de lucro de monitoreo de amenazas Shadowserver rastrea ahora más de 523,000 instancias de Roundcube expuestas en Internet. Sin embargo, no hay información sobre cuántas son honeypots o ya han sido parcheadas contra este fallo.
El lunes, cuatro meses después de que se parcheara el CVE-2026-48842, el Centro Canadiense de Ciberseguridad actualizó su aviso de mayo para advertir que los atacantes lo están explotando activamente.

"Los informes de fuentes abiertas indican que el CVE-2026-48842 está siendo explotado en el mundo real", advirtió el Centro de Ciberseguridad https://www.cyber.gc.ca/en/alerts-advisories/roundcube-security-advisory-av26-503, instando a los administradores a asegurar sus servidores de webmail.

Si bien hay una actualización de seguridad disponible para bloquear los ataques en curso, los administradores que no puedan actualizar sus servidores inmediatamente deben deshabilitar o eliminar el plugin virtuser_query para eliminar el vector de ataque.

Los fallos de seguridad de Roundcube han sido un objetivo popular tanto para el cibercrimen como para grupos de hacking respaldados por estados, con el grupo de amenazas ruso Winter Vivern (TA473) explotando un zero-day de cross-site scripting (XSS) (CVE-2023-5631) en ataques dirigidos a entidades gubernamentales europeas y el grupo de ciberespionaje ruso APT28 abusando de múltiples fallos (CVE-2020-35730, CVE-2020-12641 y CVE-2021-44026) para vulnerar los sistemas de correo electrónico del gobierno ucraniano.

Más recientemente, en febrero, la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) señaló otros dos fallos de Roundcube (CVE-2025-49113 y CVE-2025-68461) como explotados activamente y ordenó a las agencias gubernamentales asegurar sus redes en tres semanas.

Desde mayo de 2022, la agencia de ciberseguridad ha etiquetado 11 vulnerabilidades de Roundcube Webmail explotadas en el mundo real.

Fuente:
BleepingComputer