Roundcube, dünya genelindeki paylaşımlı hosting altyapısının büyük bir bölümünde sessiz sedasız çalışan webmail arayüzüdür. cPanel onu varsayılan olarak yükler; pek çok Plesk ve ISPConfig kurulumu da öyle. Sistem yöneticilerinin büyük çoğunluğu bir kez yapılandırıp geçer ve bir daha düşünmez. CVE-2026-48842’yi şu an gündemde tutmanın gerekçesi tam da bu alışkanlıktır.

Açık, Roundcube’un virtuser_query eklentisinde bulunan, kimlik doğrulama gerektirmeyen bir SQL enjeksiyonudur. Yama Mayıs 2026’da yayımlandı. Ardından dört ay boyunca sessizlik; sonra honeypot ağlarında ve tehdit istihbaratı kaynaklarında aktif istismar görünmeye başladı. Kanada Siber Güvenlik Merkezi (CCCS) 21 Eylül’de resmi istismar uyarısını yayımladı, Singapur Siber Güvenlik Ajansı (CSA) 3 Ekim’de aynı uyarıyı çıkardı. Bu yazının kaleme alındığı tarih itibarıyla saldırılar devam etmekte; açığı tetiklemek için herhangi bir kimlik bilgisine gerek yoktur.

Açık gerçekte nedir?

CVE-2026-48842, CVSS 8.1 (Yüksek) puanı taşır ve CWE-89 — yani SQL enjeksiyonu — olarak sınıflandırılır. Temel neden, iki kaçış (escape) mekanizması arasındaki uyumsuzluktur.

Roundcube’un veritabanı soyutlama katmanı, girdiyi temizlemek için $dbh->escape() kullanır; bu işlev özel karakterlerin önüne ters eğik çizgi ekler. virtuser_query eklentisi ise bu temizlenmiş dizeyi yer tutucu değiştirme amacıyla PHP’nin preg_replace() fonksiyonuna iletir. Sorun şudur: preg_replace(), değiştirme argümanındaki ters eğik çizgileri üst karakter (metakarakter) olarak yorumlar. Saldırgan, escape() tarafından eklenen bu ters eğik çizgilerin preg_replace() tarafından tüketilmesini sağlayacak özel bir girdi hazırlayabilir; bu da temizlenmemiş içeriğin doğrudan SQL sorgusuna ulaşmasına yol açar.

Kimlik doğrulama gerekmez. Saldırı, Roundcube giriş sayfasını hedef alır; yani herhangi bir sunucunun en erişilebilir yüzeyine.

Düzeltme, preg_replace() yerine değiştirme dizesinde ters eğik çizgi dizilerini yorumlamayan str_replace() kullanımından ibaret oldu. Geriye dönüp bakıldığında sade ve apaçık bir çözüm.

Hangi sürümler etkilenmiş?

Roundcube 1.6.0 – 1.6.15 ve Roundcube 1.7.0 açıktan etkileniyor. İlk yamalı sürümler, Mayıs 2026’da yayımlanan 1.6.16 ve 1.7.1 oldu.

Roundcube projesi o tarihten bu yana ek güncellemeler de çıkardı. Eylül 2026 itibarıyla önerilen sürümler 1.6.19 (1.6.x uzun vadeli destek dalı, yalnızca güvenlik düzeltmeleri) ve 1.7.4 (güncel dal). Hâlâ 1.6.16 veya 1.7.1 kullanıyorsanız CVE-2026-48842’ye karşı korunuyorsunuzdur; ama sonraki yamalar çıkmışken aylarca güncel kalmamış bir sürümü savunmak güç.

Gerçekte neyin riski altında?

Bir webmail veritabanına başarılı SQL enjeksiyonu, yalnızca sorgu sonuçlarını okumakla sınırlı değildir. Veritabanı izin yapılandırmanıza bağlı olarak saldırgan; depolanan posta hesabı kimlik bilgilerini okuyabilir, sistemdeki tüm kullanıcıları listeleyebilir, yapılandırma değerlerini çıkarabilir ya da mesajların işlenip iletilme biçimini bozabilir.

Roundcube, kendi şeması içinde oldukça geniş izinlere sahip bir veritabanı kullanıcısıyla MariaDB ya da MySQL’e bağlanır. Bu kullanıcı komşu şemalara da erişebiliyorsa — aceleyle yapılandırılmış hosting kurulumlarında sık rastlanan bir durum — hasar alanı büyür.

Shadowserver, Eylül 2026 sonunda internete açık 523.000’den fazla Roundcube örneği tespit etti. Halka açık bir kavram kanıtı (PoC) ve aktif istismar raporları olan, kimlik doğrulama gerektirmeyen bir SQL enjeksiyonu, advisoryların yayımlanmasından saatler içinde kitlesel taramalara konu olur.

Kurulumunuzu kontrol etme

Kurulu sürümü bulmak için:

grep 'RCMAIL_VERSION' /roundcube-kurulum-yolu/program/include/iniset.php

Yol, dağıtıma göre değişir. cPanel, Roundcube’u genellikle /usr/local/cpanel/base/3rdparty/roundcube/ altına yükler. Plesk, Debian tabanlı sistemlerde /usr/share/roundcubemail/ yolunu kullanır.

virtuser_query eklentisinin etkin olup olmadığını doğrulamak için:

grep -r 'virtuser_query' /roundcube-kurulum-yolu/config/

Bu arama sonuç döndürmezse ya da yalnızca yorum satırları bulunuyorsa, savunmasız eklenti yüklü değildir. Bu durum anlık maruziyetinizi azaltır; ancak yamalı olmayan bir sürümü güvende saymak için yeterli değildir. Yapılandırmalar değişir ve yükseltme her zaman doğru adımdır.

kalfaoglu.net müşterileri için ne anlama gelir?

Hosting planınız webmail erişimi içeriyorsa büyük olasılıkla Roundcube kullanıyorsunuz. Sunucu bakımının bir parçası olarak Roundcube’u güncel tutuyoruz. Kendi VPS’inizi veya özel sunucunuzu yönetiyorsanız, sürümü şimdi kontrol edin; 1.6.16 veya 1.7.1 altındaysa hemen yükseltin. Hedef sürümler 1.6.19 veya 1.7.4’tür.

Saldırı, kimlik bilgisi gerektirmez ve giriş sayfasını hedef alır — yani herhangi bir oturum kurulmadan erişilebilir. Yamayı ikame edecek bir geçici önlem yoktur.