Atacantes explotan una vulnerabilidad crítica de Roundcube Webmail

Atacantes están explotando activamente una vulnerabilidad de gravedad alta en Roundcube Webmail que fue corregida en mayo, según el Canadian Centre for Cyber Security. El centro actualizó su aviso el lunes, citando informes de fuentes abiertas que indican que la vulnerabilidad se explota en ataques reales.

Registrada como CVE-2026-48842, la vulnerabilidad es una inyección SQL previa a la autenticación en el complemento integrado virtuser_query, que gestiona búsquedas de usuarios en bases de datos y los vincula con direcciones de correo electrónico. En ataques de alta complejidad que no requieren interacción del usuario, un atacante sin privilegios podría eludir la autenticación, ejecutar comandos maliciosos en la base de datos y robar datos de la base de datos de Roundcube.

Roundcube recomendó actualizar a la versión 1.6.16 o 1.7.1, que corrigen la vulnerabilidad. Shadowserver sigue más de 523.000 instancias de Roundcube expuestas a internet, pero no ha informado cuántas son honeypots o ya están actualizadas. Los administradores que no puedan actualizar de inmediato pueden desactivar o eliminar el complemento virtuser_query para cerrar la vía de ataque.

Otros fallos de Roundcube también han sido aprovechados por grupos delictivos y respaldados por Estados. Winter Vivern (TA473) usó CVE-2023-5631 en ataques contra entidades gubernamentales europeas. APT28 usó CVE-2020-35730, CVE-2020-12641 y CVE-2021-44026 para vulnerar sistemas de correo electrónico de organismos gubernamentales ucranianos. En febrero, la U.S. Cybersecurity and Infrastructure Security Agency señaló otras dos vulnerabilidades de Roundcube, CVE-2025-49113 y CVE-2025-68461, como explotadas activamente y dio a las agencias gubernamentales tres semanas para proteger sus redes. Desde mayo de 2022, la agencia ha incluido 11 vulnerabilidades de Roundcube Webmail entre las explotadas en ataques reales.