【安全圈】Roundcube 旧漏洞出现实际利用报告，邮件系统需核对版本

安全圈

2026年9月26日 19:00
江苏

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

关键词

漏洞

加拿大网络安全中心在 2026 年 9 月 21 日更新通报称，公开报告显示 Roundcube Webmail 漏洞 CVE-2026-48842 已在真实环境中遭到利用。这个漏洞并非最近才有补丁：Roundcube 项目早在 5 月 24 日发布的 1.6.16 和 1.7.1 中就已修复。

Roundcube 是通过浏览器使用的邮件客户端。CVE-2026-48842 位于其 virtuser\_query 插件，属于登录前可触发的 SQL 注入。简单说，攻击者可能借特制请求让原本只应查询用户信息的数据库操作执行额外语句。前提是目标部署使用了相关插件，且运行的是仍有漏洞的版本；不能把所有部署 Roundcube 的邮件系统都视为同样暴露。

这次需要区分“漏洞已被利用”和“攻击详情已公开”。加拿大网络安全中心引用公开报告指出存在实际利用，但通报没有披露攻击者身份、受害者数量或具体攻击链。也不能把 Roundcube 其他漏洞的入侵案例，直接算到这个编号头上。

对管理邮件系统的团队，第一步是确认实际运行的 Roundcube 分支和版本，以及是否启用了 virtuser\_query 插件。低于 1.6.16 的 1.6 分支和低于 1.7.1 的 1.7 分支包含该问题。由于项目之后又发布了其他安全更新，应结合所用分支升级到当前可用的安全版本，而不是把 5 月的最低修复版本误认为最新版本。Roundcube 的公告列表显示，9 月 6 日还发布了 1.6.19 和 1.7.4 安全更新。

如果实例长期暴露在公网且仍运行受影响版本，完成更新后还应结合 Web、应用和数据库日志查看异常请求与账户活动。更新修复的是漏洞入口，无法单凭版本变化判断历史上是否曾遭利用。没有发现异常也不代表绝对安全，但排查应围绕实际部署与日志证据开展。

END

阅读推荐

【安全圈】MikroTik 路由器曝高危攻击链：无需密码即可取得管理权限

【安全圈】恶意软件混入 Terraform 插件，基础设施部署依赖成攻击入口

【安全圈】开发文档里的示例域名被用于攻击，假人机验证诱导执行命令

【安全圈】微软确认9月更新致Win11断网：Always On VPN遭端口占用

安全圈

←扫码关注我们

网罗圈内热点 专注网络安全

实时资讯一手掌握！

好看你就分享 有用就点个赞

支持「安全圈」就点个三连吧！