加拿大資安中心警示 Roundcube SQL 注入漏洞 (CVE‑2026‑48842) 已被實際利用

加拿大資安中心警示：Roundcube SQL 注入漏洞 (CVE‑2026‑48842) 已被實際利用

核心要點：加拿大網路安全中心（CCCS）於 9 月下旬發布緊急公告，指出今年 5 月已修補的 Roundcube 電子郵件系統 SQL 注入漏洞 CVE‑2026‑48842 出現實際攻擊跡象。管理者必須依照 Roundcube 官方指引，立即部署 1.6.16（或 1.7.1）以上版本的安全更新。

背景與漏洞細節

漏洞類型：預先身分驗證型態的 SQL 注入（SQL injection）——攻擊者可在未取得任何憑證的情況下，向資料庫注入惡意指令。
受影響元件：與外掛程式 virtuser_query 相關的查詢機制。
嚴重程度：CVSS（通用漏洞評分系統）給予 8.1 分，屬於高危等級。
修補時間：Roundcube 開發團隊於 5 月 24 日釋出 1.6.16、1.7.1 版，修正此缺口。

雖然 CCCS 未透露攻擊者的具體利用手法，但資安公司 Aviatrix 進一步說明，該弱點允許攻擊者：

透過 SQL 注入直接存取 Roundcube 後端資料庫，取得使用者帳號與郵件內容。
以取得的帳號憑證提升權限，於 Web 收信系統內部進行橫向移動。
建立傳送指令的通道，最終外洩敏感郵件與認證資訊。

過去數年已有報導指出，國家級駭客曾以類似手法針對 Roundcube 進行長期滲透，故此波實際利用的訊號格外值得警惕。

影響範圍與應變建議

受影響環境：所有部署在自有伺服器或雲端的 Roundcube 1.6.x、1.7.x 版本，且仍使用未更新的程式碼。
立即行動：
1. 核對版本：確認系統版本是否低於 1.6.16（或 1.7.1）。
2. 套用更新：依照 Roundcube 官方發布的升級指引，執行完整升級程序。
3. 檢測異常：使用資料庫審計工具搜尋可疑的 SQL 查詢紀錄，尤其是與 virtuser_query 相關的操作。
4. 加強監控：啟用多因素驗證（MFA）與異常登入警示，降低帳號被盜用的風險。

未來展望與讀者啟示

此事件再次提醒企業與機關，開源軟體的資安防護 必須落實到日常維運。即便開發團隊已於五月釋出修補，若未即時部署，仍可能成為攻擊者的入口。建議：

建立 漏洞管理流程，定期檢視開源元件的安全公告。
加入 資安情資平台（如 CCCS、Aviatrix）提供的即時通報，提升風險感知。
考慮導入 自動化補丁管理，減少人為疏失。

如欲即時掌握全球與臺灣最新資安動態，歡迎訂閱 資安日報、資安週報，每天、每週直送專業、易懂的中文資安情報，協助您在資訊安全的浪潮中保持領先。