Roundcubeの修正済みSQLインジェクション脆弱性、活発な悪用段階へ

virtuser_queryのSQLインジェクションを悪用か

BleepingComputerによると、カナダサイバーセキュリティセンターは、Roundcube Webmailの組み込みvirtuser_queryプラグインにある認証前SQLインジェクション脆弱性CVE-2026-48842が攻撃者に悪用されていると警告した。
悪用に成功すると、権限を持たない攻撃者が認証を回避し、悪意あるデータベース命令を実行してRoundcubeのデータベースから情報を取得できるおそれがある。

Roundcubeは修正版1.6.16と1.7.1を公開しており、直ちに更新できない管理者には、対象プラグインの無効化または削除が案内されている。

Roundcubeは5月にCVE-2026-48842を修正した。
利用可能な報告だけでは、公開されている導入環境のうち修正済みまたは過去に攻撃されたものの数は分からない。

カナダサイバーセキュリティセンターは、CVE-2026-48842が実環境で悪用されているとする内容に勧告を更新したと報じられている。

公開52万3000環境の全てが脆弱とは限らない

修正プログラムが提供された脆弱性が実際の攻撃に使われ始めたという報告は、未修正のRoundcube導入環境にとってセキュリティ状況の変化となる。
Shadowserverはインターネットに公開されたRoundcubeの導入環境を52万3,000超追跡しているが、脆弱な環境、修正済み環境、ハニーポットがそれぞれどれだけあるかは報告からは分からない。