7Ciber
Roundcube Pre-Auth SQL Injection Flaw Actively Exploited in the Wild
The Hacker News · 25 sept, 12:14
⚠ Acción requerida
Qué hacer: Actualiza Roundcube Webmail a la versión 1.6.16 o 1.7.1, o posterior.
Una vulnerabilidad de SQL injection pre-autenticación en el plugin virtuser_query de Roundcube Webmail (CVE-2026-48842, CVSS 8.1) está siendo explotada activamente en la naturaleza. El fallo afecta a las versiones 1.6.x anteriores a 1.6.16 y 1.7.x anteriores a 1.7.1, permitiendo a atacantes inyectar sentencias SQL arbitrarias para acceder a credenciales de correo y mensajes almacenados. Roundcube publicó parches en mayo de 2026, pero la amenaza sigue siendo activa con más de 523.000 instancias expuestas en Internet.
#Vulnerabilidad#Exploit#Zero-day