Rilevati attacchi attivi che sfruttano la vulnerabilità CVE-2026-48842 su Roundcube Webmail. La falla permette l'accesso ai database senza credenziali: necessario aggiornare subito i server.
Tra il 21 e il 24 settembre 2026, il Canadian Centre for Cyber Security e la società di sicurezza Coalition hanno segnalato una serie di attacchi informatici in corso contro i server di posta elettronica aziendali. I criminali informatici stanno sfruttando attivamente la vulnerabilita roundcube cve-2026-48842, un grave difetto che colpisce il noto client webmail open source. Il problema riguarda le installazioni basate sui rami 1.6.x e 1.7.x che non sono ancora state aggiornate. Per proteggere i dati aziendali ed evitare accessi non autorizzati, è necessario verificare la versione in uso sui propri sistemi e installare immediatamente le patch correttive rilasciate dagli sviluppatori.
I dettagli della vulnerabilità Roundcube CVE-2026-48842
Identificata formalmente con il codice CVE-2026-48842, questa falla di sicurezza ha ricevuto un punteggio di gravità CVSS v3 pari a 8.1 (gravità alta). Dal punto di vista tecnico, si tratta di una vulnerabilità di tipo iniezione SQL senza necessità di autenticazione preventiva (Pre-authentication SQL injection).
Il difetto di programmazione risiede nel plugin denominato "virtuser_query". Questo specifico componente viene utilizzato dai server per gestire la risoluzione degli indirizzi di posta elettronica verso gli utenti effettivi del sistema operativo. Le analisi tecniche condotte da SentinelOne e da altri ricercatori di sicurezza indicano che la funzione di filtro "preg_replace()", presente nel codice del plugin, contiene un errore nella gestione dell'annullamento dei caratteri di escape, in particolare delle barre rovesciate (backslash).
Questo difetto permette a un utente esterno malintenzionato di inserire sequenze di testo manipolate contenenti apici. In questo modo, l'attaccante riesce a bypassare i controlli di sicurezza e a iniettare istruzioni SQL arbitrarie direttamente all'interno del database del server di posta, il tutto senza possedere un account valido o credenziali di accesso.
Il contesto delle minacce e l'impatto sulle aziende
Roundcube è uno dei client webmail più diffusi all'interno delle piccole e medie imprese italiane. Viene spesso integrato di default su server Linux, all'interno di pannelli di controllo commerciali come cPanel o Plesk, oppure installato su macchine dedicate. Nonostante gli sviluppatori abbiano pubblicato le versioni corrette a fine maggio 2026, la Shadowserver Foundation ha censito a settembre 2026 oltre 523.000 installazioni di Roundcube accessibili via Internet, molte delle quali risultano non aggiornate e quindi esposte agli attacchi.
L'assenza di barriere d'ingresso rende questa vulnerabilità particolarmente critica: non richiede alcuna interazione da parte degli utenti aziendali ed è sufficiente che il server webmail sia raggiungibile dall'esterno. Sfruttando la falla, un attaccante può estrarre le credenziali di accesso degli utenti, consultare i messaggi memorizzati nelle caselle di posta elettronica, scaricare allegati contenenti informazioni riservate e mappare l'intera struttura del database.
Roundcube è storicamente un bersaglio frequente per gruppi criminali e operazioni di spionaggio industriale. Come documentato da Proofpoint a luglio 2026, campagne simili sono state condotte dal gruppo identificato come "UNK_MassTraction", che ha sfruttato difetti precedenti (come le vulnerabilità CVE-2025-49113 e CVE-2025-68461) per caricare sui server compromessi la backdoor "VShell".
L'accesso non autorizzato ai database della posta elettronica configura una violazione dei dati personali. Questo espone le aziende a pesanti sanzioni e attiva gli obblighi di notifica di data breach previsti dal Regolamento Europeo per la Protezione dei Dati (GDPR) e dalle recenti direttive sulla sicurezza informatica, come la normativa NIS2.
Versioni coinvolte e sistemi a rischio
Il problema interessa specifiche versioni del software Roundcube Webmail. I sistemi aziendali sono vulnerabili se utilizzano:
- Il ramo di sviluppo 1.6.x in una versione precedente alla 1.6.16.
- Il ramo di sviluppo 1.7.x in una versione precedente alla 1.7.1.
Le versioni risolutive (1.6.16 e 1.7.1 o successive) contengono la correzione del filtro e impediscono l'iniezione di codice SQL.
Cosa fare per mettere in sicurezza i server
Per proteggere l'infrastruttura aziendale e bloccare gli attacchi in corso, i titolari e i responsabili IT devono eseguire i seguenti passaggi operativi:
- Verificare la versione installata: controllare immediatamente la versione di Roundcube in uso esaminando i file di configurazione di sistema o accedendo al pannello di amministrazione del server webmail.
- Applicare la patch definitiva: aggiornare il software alla versione 1.6.16 (se l'infrastruttura si basa sul ramo 1.6) o alla versione 1.7.1 (se si utilizza il ramo 1.7). L'aggiornamento può essere eseguito tramite il gestore pacchetti della propria distribuzione Linux o scaricando i pacchetti ufficiali direttamente dal repository di Roundcube.
- Applicare la soluzione temporanea: se vincoli tecnici impediscono di aggiornare subito il software, è necessario disabilitare il plugin "virtuser_query" (se non strettamente indispensabile). Per procedere, rimuovere il riferimento al plugin dall'array
$config['plugins']all'interno del fileconfig/config.inc.php. In aggiunta, è opportuno restringere l'accesso pubblico all'interfaccia webmail, ad esempio richiedendo l'uso di una VPN aziendale o consentendo il traffico a livello di firewall solo da indirizzi IP statici autorizzati. - Verificare eventuali compromissioni: ispezionare accuratamente i file di log del server web e del database. Occorre cercare query anomale indirizzate alla schermata di accesso che contengono sequenze di escape sospette, caratterizzate dall'uso di barre rovesciate (
\).
