Blog 24/7
ARK. 1 · 1 min czytaniaPodatności ·

Luka CVE-2026-48842 w Roundcube wykorzystywana w atakach, poprawka w 1.6.16 i 1.7.1

Kanadyjskie Centrum Cyberbezpieczeństwa potwierdza ataki na lukę SQL injection w Roundcube Webmail, możliwą bez logowania. Poprawkę zawierają wersje 1.6.16 i 1.7.1.

Karta wpisu: Luka CVE-2026-48842 w Roundcube wykorzystywana w atakach, poprawka w 1.6.16 i 1.7.1

Kanadyjskie Centrum Cyberbezpieczeństwa ostrzega, że luka CVE-2026-48842 w Roundcube Webmail jest wykorzystywana w atakach. Poprawka jest dostępna od maja w wersjach 1.6.16 i 1.7.1. Błąd to SQL injection we wbudowanej wtyczce virtuser_query, możliwy bez logowania. Atakujący bez uprawnień może ominąć uwierzytelnianie, wykonać własne polecenia w bazie danych i wykraść z niej dane, bez udziału użytkownika. Shadowserver widzi w sieci ponad 523 tys. instancji Roundcube, ale nie wiadomo, ile z nich ma już poprawkę.

Kogo dotyczy

Luka dotyczy firm i usług hostingowych, które używają Roundcube Webmail, klienta poczty w przeglądarce, instalowanego domyślnie w panelu cPanel. Błąd tkwi we wtyczce virtuser_query, która przypisuje użytkowników do adresów e-mail na podstawie bazy danych.

Co zrobić

Zaktualizuj Roundcube do wersji 1.6.16 lub 1.7.1. Jeśli nie możesz od razu zaktualizować serwera, wyłącz albo usuń wtyczkę virtuser_query, bo przez nią przebiega atak.

TAB. 2

Źródła

1
BleepingComputer — Hackers now exploit critical Roundcube flaw in code injection attacksbleepingcomputer.com
TAB. 3

Powiązane

3
13.11.2026PodatnościAtaki Mior i Skyfall odczytują pamięć maszyn wirtualnych chronionych AMD SEV-SNP
13.11.2026PodatnościPostgreSQL łata 52 luki, w tym CVE-2026-6460 pozwalającą wykonać kod na serwerze
13.11.2026PodatnościRed Hat Quay: luka CVE-2026-123710 pozwala czytać i podmieniać prywatne obrazy kontenerów

Wszystkie wpisy →

Blog 24/7
14.11Osaka: atak na serwis Arara ujawnił ponad milion adresów e-mail mieszkańcówtherecord.media14.11ArcticRAT przejmuje telefony z Androidem i przez AI szuka danych finansowych w SMS-achdarkreading.com14.11Zespół Białego Domu ds. AI chce ulg dla firm po cyberatakach z użyciem AIcybersecuritydive.com14.11Platformy AI automatyzują ataki, Talos widzi w sieci ponad 700 instancji PentAGIblog.talosintelligence.com14.11FBI ostrzega przed Artex, platformą AI, która automatyzuje włamaniatherecord.media13.11Ataki Mior i Skyfall odczytują pamięć maszyn wirtualnych chronionych AMD SEV-SNPthehackernews.com13.11Gootloader otworzył drogę do 44 ataków ransomware, straty 28,8 mln dolarówtherecord.media13.11PostgreSQL łata 52 luki, w tym CVE-2026-6460 pozwalającą wykonać kod na serwerzethehackernews.com13.11Autopay potwierdza cyberatak i nieautoryzowany dostęp do części danych płatnościsekurak.pl13.11University of Texas at Arlington potwierdza kradzież danych po ataku gangu Qilintherecord.media