La CISA alerta sobre la explotación activa de dos vulnerabilidades críticas en Roundcube Webmail: un RCE post-autenticación (CVE-2025-49113) y un XSS (CVE-2025-68461), añadidas a su catálogo KEV por ataques reales en curso.

La CISA ha actualizado oficialmente su Catálogo de Vulnerabilidades Explotadas Conocidas (KEV) para incluir nuevas fallas de seguridad que afectan a una popular plataforma de correo web. El 20 de febrero de 2026, la agencia añadió dos vulnerabilidades críticas encontradas en Roundcube Webmail, basándose en pruebas claras de que actores maliciosos las están explotando activamente. 

Vulnerabilidades en Roundcube permiten a atacantes ejecutar scripts maliciosos Roundcube Webmail ha lanzado actualizaciones de seguridad críticas que abordan dos vulnerabilidades significativas que afectan a las versiones 1.6 y 1.5 LTS. Estos fallos podrían permitir a los atacantes ejecutar scripts maliciosos y obtener acceso no autorizado a información sensible a través de múltiples vectores de ataque. La primera vulnerabilidad es un fallo de Cross-Site Scripting (XSS) en el mecanismo de manejo de SVG de Roundcube.

Un investigador ha destapado un bug que llevaba una década escondido en Roundcube Webmail. El fallo (CVE-2025-49113, CVSS 9.9) permite que cualquier usuario autenticado tome el control total del servidor y ejecute código arbitrario. La solución llegó el 1 de junio con las versiones 1.6.11 y 1.5.10 LTS —pero mientras no se apliquen, miles de instalaciones siguen expuestas.