Unos atacantes están explotando una vulnerabilidad de inyección SQL de gravedad alta en Roundcube Webmail que se corrigió en mayo, según el Canadian Centre for Cyber Security.

El fallo, identificado como CVE-2026-48842, está en virtuser_query, un complemento que se distribuye con Roundcube. Este complemento se encarga de buscar usuarios en una base de datos y de asociarlos con sus direcciones de correo electrónico. El equipo de seguridad de Roundcube lo describió como una inyección SQL previa a la autenticación, lo que significa que un atacante no necesita iniciar sesión para aprovecharlo.

Roundcube Webmail es un cliente de correo electrónico de código abierto que funciona en el navegador y se comunica con los servidores de correo mediante IMAP. Miles de servicios lo usan como interfaz de correo predeterminada y tiene millones de usuarios. Además, viene preinstalado en cPanel, un conocido panel de control que los proveedores de alojamiento ofrecen a sus clientes para gestionar sitios web y correo electrónico.

Read More