Roundcube Webmail đối mặt với lỗ hổng SQL injection đang bị khai thác
Một vấn đề bảo mật nghiêm trọng ảnh hưởng đến Roundcube Webmail hiện đang bị khai thác trong thực tế. Điều này thúc giục các quản trị viên nhanh chóng cập nhật các cài đặt bị ảnh hưởng. Trung tâm An ninh Mạng Canada đã xác nhận việc khai thác tích cực đối với CVE-2026-48842, một lỗ hổng SQL injection ảnh hưởng đến các bản triển khai Roundcube Webmail đang chạy các phiên bản dễ bị tổn thương.
Roundcube đã công bố các bản tin bảo mật vào ngày 24 tháng 5 năm 2026, giải quyết nhiều lỗ hổng trong nền tảng webmail mã nguồn mở của họ. Các bản phát hành bị ảnh hưởng bao gồm các phiên bản Roundcube Webmail trước 1.6.16 trong nhánh hỗ trợ dài hạn (long-term support) và các phiên bản trước 1.7.1 trong nhánh phát hành mới hơn. Đây là một cảnh báo CVE quan trọng mà quản trị viên cần lưu ý.
Chi tiết về lỗ hổng CVE-2026-48842
Trung tâm An ninh Mạng Canada đã cập nhật bản tin tư vấn AV26-503 vào ngày 21 tháng 9 năm 2026, cảnh báo rằng kẻ tấn công đang lạm dụng CVE-2026-48842. Lỗ hổng này được mô tả là một lỗ hổng SQL injection trước khi xác thực (pre-authentication) trong plugin virtuser_query của Roundcube.
Vấn đề bắt nguồn từ việc bỏ qua (bypass) trong việc thoát ký tự đặc biệt (backslash escaping) trong hàm preg_replace của PHP. Kẻ tấn công có thể gửi các dữ liệu được chế tạo đặc biệt để thao túng truy vấn cơ sở dữ liệu trước khi đăng nhập thành công vào ứng dụng webmail. Các lỗ hổng trước khi xác thực đặc biệt nghiêm trọng vì kẻ tấn công không cần thông tin đăng nhập hợp lệ của người dùng để bắt đầu tấn công. Nếu plugin dễ bị tổn thương được bật và có thể truy cập, việc khai thác có thể cho phép kẻ tấn công can thiệp vào các thao tác cơ sở dữ liệu hoặc truy cập thông tin lẽ ra phải được bảo vệ.
Các phiên bản bị ảnh hưởng và bản vá lỗi
Bản phát hành bảo mật 1.6.16 của Roundcube đã khắc phục cụ thể vấn đề SQL injection trong plugin virtuser_query. Dự án cho biết bản cập nhật này dành cho các cài đặt sản xuất trong nhánh 1.6.x và khuyến nghị các tổ chức sao lưu dữ liệu của họ trước khi áp dụng. Việc chuyển từ một lỗ hổng đã được công bố sang việc khai thác đã được xác nhận làm tăng mức độ khẩn cấp cho các tổ chức đang vận hành Roundcube Webmail.
Các nền tảng email tiếp xúc với Internet là mục tiêu có giá trị vì chúng có thể làm lộ danh tính người dùng, tin nhắn, danh bạ, quy trình xác thực và các chức năng quản trị. Kẻ tấn công thường nhắm mục tiêu vào các máy chủ webmail để giành lấy điểm khởi đầu ban đầu, thu thập thông tin đăng nhập, đánh cắp các liên lạc nhạy cảm hoặc hỗ trợ các hoạt động lừa đảo (phishing) và tấn công chiếm quyền điều khiển email doanh nghiệp (business email compromise) sau này. Hoạt động khai thác công khai cũng làm tăng cơ hội cho các kẻ tấn công cơ hội quét internet để tìm các phiên bản Roundcube chưa được vá lỗi.
Khuyến nghị cập nhật bản vá và các biện pháp phòng ngừa
Các quản trị viên nên ngay lập tức xác định tất cả các cài đặt Roundcube, bao gồm cả các hệ thống do nhà cung cấp dịch vụ lưu trữ bên thứ ba hoặc đối tác quản lý dịch vụ duy trì. Các tổ chức nên xác minh phiên bản đã cài đặt, xác định xem plugin virtuser_query có được bật hay không và nâng cấp lên Roundcube Webmail 1.6.16 hoặc 1.7.1 tương ứng. Đây là một bước quan trọng trong việc cập nhật bản vá.
Các nhóm bảo mật nên áp dụng các bản cập nhật của nhà cung cấp càng sớm càng tốt và ưu tiên bất kỳ máy chủ Roundcube nào tiếp xúc trực tiếp với Internet. Họ cũng nên xem xét các bản ghi web-server, ứng dụng, cơ sở dữ liệu và xác thực để tìm các yêu cầu bất thường, các truy vấn cơ sở dữ liệu thất bại, các thông báo lỗi không mong muốn hoặc các hoạt động đáng ngờ liên quan đến các điểm cuối của Roundcube.
Các tổ chức nên hạn chế quyền truy cập hành chính, thực thi xác thực đa yếu tố (multi-factor authentication) ở nơi được hỗ trợ, duy trì các bản sao lưu đã được kiểm tra và đảm bảo rằng các tài khoản cơ sở dữ liệu Roundcube chỉ có các quyền tối thiểu cần thiết. Các nhóm giám sát mạng nên điều tra lưu lượng truy cập đi bất thường hoặc truy cập hộp thư đáng ngờ sau một sự cố bị nghi ngờ.
Trung tâm An ninh Mạng Canada đã khuyến khích người dùng và quản trị viên xem xét các bản tin tư vấn Roundcube có sẵn và áp dụng các bản cập nhật cần thiết mà không chậm trễ. Đây là một lời kêu gọi khẩn thiết để đảm bảo an toàn cho hệ thống khỏi các mối đe dọa mạng.
Bạn có thể tìm hiểu thêm thông tin chi tiết và các bản vá lỗi liên quan trên trang tư vấn của Trung tâm An ninh Mạng Canada: AV26-503.
