新聞

加拿大網路安全中心於9月下旬，更新一則郵件伺服器Roundcube資安公告的內容，指出他們根據開源的情資報告，得知今年5月修補的資安漏洞CVE-2026-48842遭到實際利用，呼籲管理人員要根據Roundcube提供的指引，套用必要的更新程式。由於最近幾年不時傳出國家級駭客針對該郵件系統發動攻擊，因此這項公告更新相當值得留意。

CVE-2026-48842為預先身分驗證型態的SQL注入漏洞，與外掛程式virtuser_query有關，CVSS嚴重程度評為8.1分，Roundcube開發團隊於5月24日發布1.6.16、1.7.1版修補。雖然加拿大網路安全中心並未說明攻擊者如何將其用於實際攻擊，但資安公司Aviatrix指出，此弱點可允許攻擊者在無需事先取得憑證的情況下存取資料庫，攻擊者藉由SQL注入攻擊，存取Roundcube的電子郵件帳號的憑證與存放的訊息，然後疑似透過被滲透的電子郵件帳號提升權限，並於網頁收信系統的基礎架構進行橫向移動，且以受害系統建立傳送命令的通道，最終外傳敏感郵件與憑證。