חולשה בתוסף של Roundcube מנוצלת בפועל: בדקו את מערכת הדואר שלכם

לפי דיווחים גלויים, תוקפים מנצלים בפועל חולשת הזרקת SQL בתוסף virtuser_query של Roundcube. מרכז הסייבר הקנדי (Canadian Centre for Cyber Security) עדכן על כך ב-21 בספטמבר את ההתרעה שלו על Roundcube Webmail. מספר החולשה הוא CVE-2026-48842. Roundcube היא מערכת דואר בקוד פתוח שפועלת בדפדפן. ארגונים וספקי אחסון משתמשים בה כדי לתת למשתמשים גישה לתיבת הדואר דרך האתר. התיקון לחולשה יצא כבר במאי, כך שהשאלה המרכזית היא מי עוד לא עדכן.

הזרקת SQL ב-Roundcube לפני ההתחברות, בתוסף אחד

CVE הוא מספר זיהוי בינלאומי לחולשות אבטחה. CVE-2026-48842 היא חולשת הזרקת SQL. כלומר, תוקף מצליח להכניס פקודות למסד הנתונים דרך שדה שאמור לקבל טקסט רגיל. דירוג החולשה הוא 8.1 מתוך 10. היא לא דורשת שם משתמש או סיסמה.

חולשת ה-SQL ב-Roundcube נובעת מתוסף בשם virtuser_query. התוסף ממפה שמות משתמש לכתובות דואר בעזרת שאילתות למסד הנתונים. הבעיה היא בדרך שבה הקוד מטפל בתווי לוכסן הפוך. זו טעות שמאפשרת לקלט של התוקף להתפרש כפקודת SQL.

החולשה קיימת בגרסאות 1.6 שקודמות ל-1.6.16 ובגרסאות 1.7 שקודמות ל-1.7.1. Roundcube פרסמה לה תיקון ב-24 במאי 2026. לפי חברת המודיעין SOCRadar, יצאו ב-6 בספטמבר גרסאות חדשות נוספות, 1.6.19 ו-1.7.4. מרכז הסייבר הקנדי לא פירט מי מנצל את החולשה ונגד מי. גם SOCRadar מציינת שאין עדיין מידע מאומת על קבוצות תקיפה או קורבנות.

מה הסיכון בחולשת ה-SQL של Roundcube, ולמי

יש כאן שתי הסתייגויות חשובות. הראשונה היא שהתוסף virtuser_query של Roundcube לא פעיל כברירת מחדל. ב-Roundcube צריך להפעיל תוספים במפורש. רשימת התוספים הבסיסית ריקה. לכן רק מערכות שמישהו הפעיל בהן את התוסף הזה פגיעות.

השנייה היא היקף הנזק האפשרי. לפי SOCRadar, הניצול מאפשר להריץ פקודות במסד הנתונים של Roundcube, בהרשאות של חשבון המסד. אפשר לחשוף נתונים, לשנות אותם או לשבש אותם. אבל זה לא אומר אוטומטית השתלטות על השרת או גישה לתוכן הדואר עצמו.

ובכל זאת, יש סיבה לא לזלזל. מערכות דואר וובי חשופות לאינטרנט מעצם הגדרתן. הן גם מחזיקות מידע רגיש, ולכן כל חולשה שתוקפים מנצלים בהן מצדיקה בדיקה. פער של ארבעה חודשים בין התיקון לבין הניצול מלמד שהרבה התקנות פשוט נשארו בלי עדכון. עסקים קטנים רבים בכלל לא יודעים שהדואר שלהם רץ על Roundcube. הם נכנסים לממשק הדואר שקיבלו מחברת האחסון. לא ברור להם מי אחראי לעדכן אותו.

עוד ב-GEEKLIK: הרגולטור האירי קנס את Google ב-403 מיליון יורו על הטיפול בנתוני מיקום של משתמשים

מה הלאה

נכון לסוף ספטמבר אין פרטים על היקף הניצול, על זהות התוקפים או על ארגונים שנפגעו. אולי יתווספו עוד התרעות של רשויות סייבר נוספות. כדאי לעקוב גם אחרי הודעות של ספקי אחסון ולוחות בקרה שמגיעים עם Roundcube מובנה. אצלם רבות מההתקנות.

מעבר לחולשה הספציפית, זו הזדמנות טובה לבדוק מי בעסק אחראי בפועל לעדכון מערכת הדואר. כדאי לוודא שהתשובה היא לא ״אף אחד״.