https://blog.kalfaoglu.net/tr/tags/webmail/Recent content in Webmail on kalfaoglu.netHugotrSun, 01 Nov 2026 00:00:00 +0000https://blog.kalfaoglu.net/tr/posts/2026-11-01-roundcube-cve-2026-48842-sqli-tr/Sun, 01 Nov 2026 00:00:00 +0000https://blog.kalfaoglu.net/tr/posts/2026-11-01-roundcube-cve-2026-48842-sqli-tr/<p>Roundcube, dünya genelindeki paylaşımlı hosting altyapısının büyük bir bölümünde sessiz sedasız çalışan webmail arayüzüdür. cPanel onu varsayılan olarak yükler; pek çok Plesk ve ISPConfig kurulumu da öyle. Sistem yöneticilerinin büyük çoğunluğu bir kez yapılandırıp geçer ve bir daha düşünmez. CVE-2026-48842&rsquo;yi şu an gündemde tutmanın gerekçesi tam da bu alışkanlıktır.</p> <p>Açık, Roundcube&rsquo;un <code>virtuser_query</code> eklentisinde bulunan, kimlik doğrulama gerektirmeyen bir SQL enjeksiyonudur. Yama Mayıs 2026&rsquo;da yayımlandı. Ardından dört ay boyunca sessizlik; sonra honeypot ağlarında ve tehdit istihbaratı kaynaklarında aktif istismar görünmeye başladı. Kanada Siber Güvenlik Merkezi (CCCS) 21 Eylül&rsquo;de resmi istismar uyarısını yayımladı, Singapur Siber Güvenlik Ajansı (CSA) 3 Ekim&rsquo;de aynı uyarıyı çıkardı. Bu yazının kaleme alındığı tarih itibarıyla saldırılar devam etmekte; açığı tetiklemek için herhangi bir kimlik bilgisine gerek yoktur.</p>