文章总结： RoundcubeWebmail漏洞CVE-2026-48842已被证实遭实际利用，该漏洞位于virtuser_query插件，属登录前可触发的SQL注入。低于1.6.16的1.6分支和低于1.7.1的1.7分支受影响，官方已于5月修复，9月又发布更新。建议邮件系统管理员确认版本及插件启用情况，升级至最新安全版本，并结合日志排查异常活动。
综合评分： 72
文章分类： 漏洞预警,应急响应,安全运营
【安全圈】Roundcube 旧漏洞出现实际利用报告，邮件系统需核对版本
安全圈
2026年9月26日 19:00
江苏
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
关键词
漏洞
加拿大网络安全中心在 2026 年 9 月 21 日更新通报称，公开报告显示 Roundcube Webmail 漏洞 CVE-2026-48842 已在真实环境中遭到利用。这个漏洞并非最近才有补丁：Roundcube 项目早在 5 月 24 日发布的 1.6.16 和 1.7.1 中就已修复。
Roundcube 是通过浏览器使用的邮件客户端。CVE-2026-48842 位于其 virtuser_query 插件，属于登录前可触发的 SQL 注入。简单说，攻击者可能借特制请求让原本只应查询用户信息的数据库操作执行额外语句。前提是目标部署使用了相关插件，且运行的是仍有漏洞的版本；不能把所有部署 Roundcube 的邮件系统都视为同样暴露。
这次需要区分“漏洞已被利用”和“攻击详情已公开”。加拿大网络安全中心引用公开报告指出存在实际利用，但通报没有披露攻击者身份、受害者数量或具体攻击链。也不能把 Roundcube 其他漏洞的入侵案例，直接算到这个编号头上。
对管理邮件系统的团队，第一步是确认实际运行的 Roundcube 分支和版本，以及是否启用了 virtuser_query 插件。低于 1.6.16 的 1.6 分支和低于 1.7.1 的 1.7 分支包含该问题。由于项目之后又发布了其他安全更新，应结合所用分支升级到当前可用的安全版本，而不是把 5 月的最低修复版本误认为最新版本。Roundcube 的公告列表显示，9 月 6 日还发布了 1.6.19 和 1.7.4 安全更新。
如果实例长期暴露在公网且仍运行受影响版本，完成更新后还应结合 Web、应用和数据库日志查看异常请求与账户活动。更新修复的是漏洞入口，无法单凭版本变化判断历史上是否曾遭利用。没有发现异常也不代表绝对安全，但排查应围绕实际部署与日志证据开展。
END
阅读推荐
【安全圈】MikroTik 路由器曝高危攻击链：无需密码即可取得管理权限
【安全圈】恶意软件混入 Terraform 插件，基础设施部署依赖成攻击入口
【安全圈】开发文档里的示例域名被用于攻击，假人机验证诱导执行命令
【安全圈】微软确认9月更新致Win11断网：Always On VPN遭端口占用
安全圈
←扫码关注我们
网罗圈内热点 专注网络安全
实时资讯一手掌握！
好看你就分享 有用就点个赞
支持「安全圈」就点个三连吧！
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：安全圈 《【安全圈】Roundcube 旧漏洞出现实际利用报告，邮件系统需核对版本》