Roundcube alerta para exploração ativa de falha de SQL injection

25 de setembro de 2026 · 2 fontes independentes

A vulnerabilidade CVE-2026-48842 no Roundcube Webmail está sendo ativamente explorada na natureza.

Isso indica que invasores já estão usando ativamente a brecha para ataques reais, não apenas como risco teórico.

A falha é uma injeção de SQL pré-autenticação no plugin virtuser_query do Roundcube, permitindo que invasores injetem comandos SQL sem autenticação.

A falha é crítica porque não requer credenciais ou interação do usuário para ser explorada, tornando-a especialmente perigosa em instalações expostas à…

O Roundcube lançou correções para a vulnerabilidade em maio de 2026, nas versões 1.6.16 e 1.7.1.

A existência de correções destaca a importância de os administradores atualizarem seus sistemas imediatamente para se protegerem contra ataques.

A exploração ativa foi confirmada pelo Centro Canadense de Segurança Cibernética, que citou relatórios de código aberto em seu aviso.

A confirmação oficial alerta a comunidade global de segurança sobre a necessidade de ação imediata.

Confirmado por Security Affairs The Hacker News Ler no O agêntico