metadataJson
articleBody 背景與問題
加拿大網路安全中心（Canadian Centre for Cyber Security）近日發布警告，指出一套已被修補的 Roundcube Webmail 漏洞正在現實世界中遭到積極利用。Roundcube 是一套開放原始碼的網頁郵件客戶端，廣泛部署於各類網站代管與企業郵件系統中，讓使用者透過瀏覽器即可收發信件。由於郵件內容往往包含帳號啟用連結、密碼重設通知、內部業務討論等敏感資訊，郵件系統一旦被攻破，攻擊者便有機會取得大量高價值資料，因此 Roundcube 這類郵件前端軟體長期以來都是駭客鎖定的目標。
本次遭到利用的漏洞編號為 CVE-2026-48842，CVSS 風險評分為 8.1，屬於高嚴重性等級。漏洞存在於 Roundcube Webmail 1.6.x 系列在 1.6.16 之前的版本，以及 1.7.x 系列在 1.7.1 之前的版本。Roundcube 官方已於 2026 年 5 月隨 1.6.16 與 1.7.1 版本發布修補程式，但由於仍有大量伺服器未即時更新，攻擊者持續利用此弱點入侵未修補的系統。
核心內容：預認證 SQL 注入
CVE-2026-48842 的本質是一個預認證 SQL 注入漏洞，攻擊者不需要先登入郵件系統，就能夠對 Roundcube 的資料庫後端注入惡意 SQL 指令。問題出在 virtuser_query 外掛模組。這個外掛的功能是將虛擬使用者名稱對應到實際的郵件帳號，讓郵件伺服器可以根據查詢結果路由信件。漏洞的根源在於 preg_replace() 函式中的反斜線跳脫繞過機制，攻擊者可利用特殊字元構造惡意查詢，繞過程式原有的輸入過濾，進而執行任意 SQL 語句。
資安公司 SentinelOne 在分析中指出，未經認證的攻擊者可以透過 virtuser_query 外掛，將 SQL 指令注入 Roundcube 的資料庫後端，進而可能暴露郵件帳號憑證與儲存於系統內的信件內容。換句話說，攻擊者不需要任何帳號密碼，只要向目標伺服器發送特製請求，就有機會讀取甚至竄改資料庫中的敏感資料。這類預認證漏洞之所以危險，是因為它大幅降低了攻擊門檻，任何人都可以在網路上掃描並攻擊暴露的 Roundcube 實例。
技術與脈絡解讀
SQL 注入是一種歷史悠久的網頁攻擊手法，核心原理是應用程式在組合資料庫查詢時，未妥善區分「資料」與「指令」，導致使用者輸入的內容被資料庫誤認為 SQL 語法的一部分。以本次漏洞而言，virtuser_query 外掛在處理虛擬使用者名稱時，會使用 preg_replace() 進行字串取代或比對，而 preg_replace() 的 pattern 與 replacement 參數在特定條件下存在反斜線跳脫的漏洞。攻擊者可以利用這個弱點，在原本應該只是普通字串的輸入中插入 SQL 片段，使資料庫執行非預期的指令。
Roundcube 的資料庫後端通常儲存著使用者帳號資訊、郵件資料夾結構、信件索引與部分郵件內容，在某些部署架構下甚至可能包含郵件帳號的驗證憑證。因此，SQL 注入的影響範圍不僅限於資料洩漏，還可能延伸至帳號接管、權限提升，甚至進一步利用資料庫伺服器的功能來攻擊郵件伺服器本身。值得注意的是，Shadowserver Foundation 的掃描數據顯示，目前網際網路上有超過 523,000 個 Roundcube 實例暴露在外，截至 2026 年 9 月 23 日，其中有 10 個被標記為易受攻擊的主機。雖然這 10 個數字看似不多，但考慮到 Roundcube 的廣泛部署，任何未更新的實例都可能成為攻擊者的突破口。
影響與限制
Roundcube 漏洞遭到實際利用並非首次。2026 年 7 月，Proofpoint 曾公開指出，一個疑似與中國有關的攻擊組織 UNK_MassTraction 利用 Roundcube 的已知安全漏洞，在受害伺服器上植入網頁後門（web shell），並部署名為 VShell 的後滲透工具。更早在 2026 年 2 月，美國網路安全與基礎設施安全局（CISA）也將 Roundcube 的另外兩個漏洞 CVE-2025-49113 與 CVE-2025-68461 列入已知遭利用漏洞清單。這些事件顯示，Roundcube 已成為國家級攻擊者與網路犯罪集團都高度關注的目標，原因在於郵件系統一旦淪陷，攻擊者可長期潛伏並持續竊取通訊內容。
此次加拿大網路安全中心引用的實際利用消息來自開源情報，但並未公開具體的攻擊細節與受害對象。這也反映了漏洞利用監測的現實限制：許多攻擊活動在初期難以被完整揭露，資安研究人員往往只能確認漏洞遭到利用，卻無法立即掌握攻擊者的身分、動機與完整攻擊鏈。對於 Roundcube 的管理者而言，最直接的因應措施是確認自身版本是否低於 1.6.16 或 1.7.1，並盡速升級至修補版本。同時也應檢查伺服器日誌中是否有異常的 SQL 查詢或未授權存取記錄，因為在漏洞被公開後，掃描與攻擊流量通常會迅速增加。郵件安全不僅是防火牆與防毒軟體的問題，任何連接到郵件系統的元件都必須納入風險管理，Roundcube 的案例再次提醒了這項基本原則。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。