Roundcube'un Kimlik Doğrulama Gerektirmeyen SQL Enjeksiyonu İstismar Ediliyor: Webmail Sürümünüzü Kontrol Edin
Roundcube, dünya genelindeki paylaşımlı hosting altyapısının büyük bir bölümünde sessiz sedasız çalışan webmail arayüzüdür. cPanel onu varsayılan olarak yükler; pek çok Plesk ve ISPConfig kurulumu da öyle. Sistem yöneticilerinin büyük çoğunluğu bir kez yapılandırıp geçer ve bir daha düşünmez. CVE-2026-48842’yi şu an gündemde tutmanın gerekçesi tam da bu alışkanlıktır. Açık, Roundcube’un virtuser_query eklentisinde bulunan, kimlik doğrulama gerektirmeyen bir SQL enjeksiyonudur. Yama Mayıs 2026’da yayımlandı. Ardından dört ay boyunca sessizlik; sonra honeypot ağlarında ve tehdit istihbaratı kaynaklarında aktif istismar görünmeye başladı. Kanada Siber Güvenlik Merkezi (CCCS) 21 Eylül’de resmi istismar uyarısını yayımladı, Singapur Siber Güvenlik Ajansı (CSA) 3 Ekim’de aynı uyarıyı çıkardı. Bu yazının kaleme alındığı tarih itibarıyla saldırılar devam etmekte; açığı tetiklemek için herhangi bir kimlik bilgisine gerek yoktur. ...