یک آسیب‌پذیری بسیار شدید در سامانه Roundcube Webmail شناسایی شده است که در حال حاضر توسط مهاجمان مورد بهره‌برداری (Exploit) قرار گرفته و سرورهای ایمیل آپدیت‌نشده را در معرض حملات SQL Injection بدون نیاز به احراز هویت قرار می‌دهد.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی که با شناسه CVE-2026-48842 ردیابی می‌شود، نسخه‌های 1.6.x (قبل از 1.6.16) و 1.7.x (قبل از 1.7.1) را تحت تأثیر قرار داده است. این مشکل در پلاگین virtuser_query رخ می‌دهد و ناشی از یک نقص در نحوه مدیریت کاراکترهای Escape (بک‌اسلش) توسط تابع preg_replace() در زبان PHP است.
به دلیل اینکه این حمله پیش از مرحله ورود به سیستم (Pre-authentication) رخ می‌دهد، مهاجم برای اجرای عملیات مخرب در دیتابیس بک‌اند، نیازی به داشتن نام کاربری، رمز عبور، توکن‌های نشست (Session Tokens) یا هرگونه دسترسی سطح حساب کاربری ندارد.
پیامدهای امنیتی و تأثیرات
تاثیر این حمله بسته به پیکربندی دیتابیس و سطح دسترسی‌های تخصیص داده شده به حساب دیتابیس Roundcube متفاوت است. پیامدهای احتمالی عبارتند از:
- دسترسی غیرمجاز به رکوردهای حساس و داده‌های کاربران.
- تغییر یا حذف محتویات دیتابیس.
- اختلال در فرآیندهای احراز هویت.
- به‌خطر افتادن کامل محیط Webmail و دسترسی به تنظیمات اپلیکیشن و مخاطبین.
توصیه‌های عملیاتی برای مدیران SOC و CISO
با توجه به تایید بهره‌برداری فعال از این آسیب‌پذیری توسط مرکز امنیت سایبری کانادا، این موضوع فراتر از یک آپدیت روتین است. سازمان‌هایی که زیرساخت Roundcube آن‌ها در معرض اینترنت قرار دارد، باید اقدامات زیر را با فوریت انجام دهند:
- به‌روزرسانی فوری: ارتقای سیستم به نسخه‌های اصلاح شده (منتشر شده در ۲۴ می ۲۰۲۶).
- Threat Hunting: بررسی لاگ‌های سرور برای شناسایی الگوهای مشکوک در درخواست‌های ارسالی به پلاگین
virtuser_query. - بازبینی دسترسی‌ها: محدود کردن سطح دسترسی حساب دیتابیس مورد استفاده توسط Roundcube برای کاهش اثرات احتمالی حمله.
