Roundcube Webmail: Aktiv ausgenutzte SQL-Injection – jetzt updaten

Angreifer nutzen derzeit aktiv eine Sicherheitslücke in der weit verbreiteten Open-Source-Webmailsoftware Roundcube aus. Über die Schwachstelle CVE-2026-48842 (Risiko „hoch“) lässt sich ohne vorherige Anmeldung eine SQL-Injection ausführen. Verwundbar sind allerdings nur Instanzen, bei denen ein bestimmtes Plug-in aktiv ist – wer betroffen ist, sollte umgehend aktualisieren.

Was ist passiert?

In Roundcube Webmail steckt eine SQL-Injection-Schwachstelle (CVE-2026-48842, eingestuft als „hoch“), die Angreifer ohne Zugangsdaten ausnutzen können. Über manipulierte Datenbankanfragen lassen sich Einträge verändern oder löschen. Die zugrunde liegenden Lücken sind seit Ende Mai 2026 bekannt und wurden mit den Roundcube-Versionen 1.6.16 und 1.7.1 geschlossen; aktuell sind die Ausgaben 1.6.19 und 1.7.4.

Da diese Updates offenbar noch nicht überall installiert sind, setzen Angreifer nun genau an dieser Schwachstelle an. Das Canadian Centre for Cyber Security warnt in seinem Advisory AV26-503 vor der aktiven Ausnutzung. Hinweise, an denen sich eine bereits kompromittierte Instanz erkennen lässt, gibt es seitens der Entwickler bislang nicht.

Wer ist betroffen?

Angreifbar sind ausschließlich Roundcube-Instanzen, bei denen das Plug-in virtuser_query aktiviert ist – darüber werden Datenbankabfragen abgewickelt. Instanzen ohne dieses Plug-in sind nach aktuellem Stand nicht über diesen Weg verwundbar.

Roundcube ist bei Hostern, Webagenturen und in vielen KMU als Webmail-Oberfläche im Einsatz. Sicherheitsforscher von Shadowserver zählen weltweit über 520.000 öffentlich erreichbare Instanzen, davon rund 16.000 in Deutschland. Ob diese eine verwundbare Version einsetzen, geht aus der Statistik nicht hervor – Grund genug, den eigenen Stand aktiv zu prüfen.

Was jetzt zu tun ist

1. Roundcube-Version prüfen und auf einen fehlerbereinigten Stand aktualisieren – mindestens 1.6.16 bzw. 1.7.1, besser direkt auf die aktuellen 1.6.19 oder 1.7.4.
2. Prüfen, ob das Plug-in virtuser_query aktiv ist. Falls ein Update nicht sofort möglich ist, das Plug-in vorübergehend deaktivieren, um die Instanz zu schützen.
3. Bei eigenem Hosting: klären, ob die Webmail-Instanz aus dem Internet erreichbar ist, und den Zugriff wo möglich einschränken.
4. Läuft die Webmail beim Provider, beim Hoster nachfragen, welche Roundcube-Version im Einsatz ist und ob bereits gepatcht wurde.
5. Datenbank-Backups sicherstellen, da bei erfolgreicher Ausnutzung Einträge manipuliert oder gelöscht werden könnten.

So hilft Binary System Services

Wir prüfen Ihre Webmail- und Server-Umgebungen auf verwundbare Versionen, übernehmen das Patch-Management und deaktivieren riskante Komponenten kontrolliert, bis Updates eingespielt sind. Bei Verdacht auf einen Angriff unterstützen wir mit Log- und Datenbankanalyse sowie der Absicherung Ihrer Systeme. Sprechen Sie uns an.

Angaben ohne Gewähr. Im Zweifel bitte die offizielle Quelle prüfen.