加拿大网络安全中心（Canadian Centre for Cyber Security）于 9 月 24 日更新 5 月通告 AV26-503，确认 Roundcube Webmail 的预认证 SQL 注入漏洞 CVE-2026-48842 已被在野利用。该漏洞的修复版本早在 5 月就已发布，四个月后攻击才开始规模化——Shadowserver 目前追踪到超过 52.3 万个暴露在公网的 Roundcube 实例。
事件概述
漏洞位于 Roundcube 内置的 virtuser_query 插件，该插件负责通过数据库查询把虚拟用户名映射到真实邮箱地址。Roundcube 1.6.16 与 1.7.1 修复此问题，官方当时”强烈建议”尽快升级。这一次安全中心未点名具体攻击团伙，也未披露利用规模。
需要特别注意的是分发面：Roundcube 是 cPanel 的预装组件，几乎所有对外提供邮箱服务的虚拟主机默认都会部署它。对主机商而言，这不再是一个可选组件，而是根站点上的常驻暴露面。
技术细节
漏洞类型为预认证 SQL 注入，CVSS 评分 8.1。攻击者无需任何凭据即可触达这段代码：virtuser_query 在处理用户输入时未做充分净化，直接把可控内容拼进 SQL 查询。成功利用后可绕过登录界面，向 Roundcube 后端数据库注入并执行任意数据库指令。
在共享主机场景下，风险被显著放大——Roundcube 的数据库集中保存了同一台服务器上每一个邮箱账户的信息。一次成功的注入不是拿下单个用户，而是导出整库：账户、凭据、通讯录与元数据。对攻击者而言，这是直通撞库、鱼叉钓鱼与账号接管的现成跳板。攻击被评定为高复杂度且无需用户交互，意味着向量一旦公开，一个扫描器就足以对上万个实例批量撒网。
影响评估
这不是孤立事件。自 2022 年 5 月以来，CISA 已将 11 个 Roundcube 漏洞标记为在野利用；2026 年 2 月，CISA 又把 CVE-2025-49113 与 CVE-2025-68461 加入 KEV 目录。历史上 TA473 与 APT28 都曾以 Roundcube 为入口突破政府邮件系统。受影响最重的群体是政府与国防、共享主机服务商、自建邮件的中小企业与高校——这几类恰好也是补丁推进最慢的群体。
修复建议
# 查看已安装版本
dpkg -l 2>/dev/null | grep -i roundcube
grep -r "RCMAIL_VERSION" /var/www/*/roundcubemail/program/include/iniset.php
# 关闭易受攻击的插件（临时缓解）
# 编辑 config/config.inc.php，注释掉 virtuser_query- 升级到 1.6.16 或 1.7.1 是唯一根治手段。仍在 1.5.x 及更早分支的部署很可能同时暴露于多个已知在野漏洞，应规划整体版本升级而非单点补丁。
- 无法立即升级时，可从配置中移除或注释 virtuser_query 插件以消除攻击向量；前提是业务不依赖数据库驱动的虚拟用户路由，改动前需在生产环境验证影响。
- 考虑到补丁发布至确认利用之间存在四个月窗口，应回溯审查至少自 5 月起的 Web 服务器与数据库日志，重点关注登录参数中出现 UNION、
OR 1=1、注释符等 SQL 语法特征的请求，以及使用异常 UNION SELECT 或访问 information_schema 的查询。