Roundcube-Lücke CVE-2026-48842 wird aktiv ausgenutzt – Admins sollten jetzt aktualisieren
Eine bereits im Mai geschlossene Sicherheitslücke in Roundcube Webmail wird inzwischen aktiv für Angriffe ausgenutzt. Das Canadian Centre for Cyber Security hat seinen Hinweis zu CVE-2026-48842 aktualisiert und verweist auf beobachtete Angriffe in freier Wildbahn.
SQL-Injection vor der Anmeldung
CVE-2026-48842 betrifft das integrierte Plugin virtuser_query. Durch eine Schwäche bei der Verarbeitung von Datenbankabfragen kann eine präparierte Anfrage eine SQL-Injection auslösen. Besonders kritisch: Für den Angriff ist keine vorherige Anmeldung erforderlich.
Die Schwachstelle wurde mit Roundcube 1.6.16 und 1.7.1 behoben. Wer eine ältere Version betreibt, sollte deshalb nicht nur prüfen, ob das System grundsätzlich noch funktioniert, sondern den konkreten Versionsstand kontrollieren.
Aktuelle Versionen sind bereits deutlich weiter
Seit dem Mai-Fix hat Roundcube weitere Sicherheitsupdates veröffentlicht. Administratoren sollten daher nicht nur auf die damaligen Mindestversionen aktualisieren, sondern möglichst auf eine aktuell unterstützte Release-Version wechseln. Das Projekt empfiehlt für produktive Installationen grundsätzlich die jeweils stabile, gepflegte Ausgabe.
Warum Webmail-Server attraktive Ziele sind
Ein öffentlich erreichbares Webmail-System steht direkt im Internet und verarbeitet gleichzeitig besonders sensible Daten. Erfolgreiche Angriffe können deshalb nicht nur E-Mails und Kontaktdaten gefährden, sondern je nach Umgebung auch als Ausgangspunkt für weitere Angriffe dienen.
Hinzu kommt, dass Roundcube häufig über Hosting-Pakete oder Verwaltungsoberflächen mitinstalliert wird. Betreiber sollten prüfen, ob Updates automatisch durch den Hoster erfolgen oder ob sie selbst für die Anwendung verantwortlich sind.
Was Administratoren jetzt tun sollten
Der erste Schritt ist ein Versionscheck. Systeme unterhalb von 1.6.16 beziehungsweise 1.7.1 müssen mindestens auf einen korrigierten Stand gebracht werden; sinnvoller ist die aktuell unterstützte stabile Version. Zusätzlich sollten Webserver- und Datenbankprotokolle auf auffällige Requests und ungewöhnliche Zugriffe geprüft werden.
Beitragsbild: Symbolbild: Mariia Berezovsky / Unsplash
Quellen
Canadian Centre for Cyber Security: AV26-503 Update 1
Roundcube: Security updates 1.6.16 und 1.7.1
