CVE-2026-48842: vulnerabilidad SQLi pre-auth en Roundcube Webmail activamente explotada

Por qué importa esta alerta

El Canadian Centre for Cyber Security (Centro Canadiense de Seguridad Cibernética) confirmó esta semana que una vulnerabilidad en Roundcube Webmail, ya parchada desde mayo de 2026, está siendo explotada activamente contra servidores que no actualizaron. Se trata de CVE-2026-48842, una inyección SQL pre-autenticación con CVSS 8.1 que vive en el plugin opcional virtuser_query y permite a un atacante sin credenciales extraer correos, hashes de contraseñas y credenciales IMAP directamente desde la base de datos.

Lo crítico del aviso no es la vulnerabilidad en sí — está corregida y documentada desde el 24 de mayo de 2026 con las versiones 1.6.16 y 1.7.1 — sino que cuatro meses después, todavía hay servidores expuestos en producción. La Canadian Centre for Cyber Security detectó intentos de explotación activos durante septiembre, lo que significa que hay botnets o grupos APT escaneando masivamente Internet buscando instalaciones sin parchear. Si tu organización corre Roundcube con el plugin virtuser_query habilitado, esta alerta es para ti.

Qué es CVE-2026-48842 y cómo funciona

El fallo reside en el plugin virtuser_query, que Roundcube usa opcionalmente para resolver direcciones de correo a nombres de usuario de buzón antes del login. El plugin toma un valor controlado por el usuario (parte de una dirección de correo introducida en el formulario de autenticación) y lo inserta en una plantilla SQL configurada por el administrador. El bypass del escape de barras invertidas en preg_replace() rompe la sanitización esperada y permite inyectar sentencias SQL arbitrarias que el motor de base de datos ejecuta sin necesidad de estar autenticado.

El aviso oficial del NVD describe la vulnerabilidad con precisión:

Roundcube Webmail 1.6.x before 1.6.16 and 1.7.x before 1.7.1 has Pre-authentication SQL injection in the virtuser_query plugin via a preg_replace() backslash escape bypass.

Según SentinelOne, que publicó el análisis técnico, un atacante puede usar este bypass para “inyectar SQL en el backend de base de datos de Roundcube a través del plugin virtuser_query, exponiendo potencialmente las credenciales de las cuentas de correo y los mensajes almacenados”. La categoría CWE-89 (SQL Injection) lleva dos décadas entre las más explotadas del mundo; este caso es preocupante porque se dispara antes del login, lo que elimina cualquier barrera de autenticación.

Versiones afectadas y matriz de exposición

El árbol de versiones de Roundcube 1.6 LTS y 1.7.x mantiene políticas de soporte distintas. Esta es la matriz concreta de exposición:

Versión	Estado	Acción requerida
1.5.x y anteriores	Fuera de soporte	Migrar a 1.6.19 LTS o 1.7.4 ya
1.6.0 – 1.6.15	Vulnerable (CVE-2026-48842)	Actualizar a 1.6.19 inmediatamente
1.6.16 – 1.6.18	Vulnerable a otros CVEs posteriores	Actualizar a 1.6.19
1.6.19 (06-sep-2026)	Último LTS seguro	Mantener
1.7.0	Vulnerable (CVE-2026-48842)	Actualizar a 1.7.4
1.7.1 – 1.7.3	Vulnerable a otros CVEs posteriores	Actualizar a 1.7.4
1.7.4 (06-sep-2026)	Último estable seguro	Mantener

El factor decisivo es si el plugin virtuser_query está habilitado en config/config.inc.php. Si no lo está, la superficie de ataque de este CVE específico desaparece — pero quedan otros veinte CVEs publicados en los últimos seis meses que sí afectan al core (XSS almacenados, SSRF bypass, RCE en markasjunk, LDAP filter injection, etc.). La recomendación oficial del proyecto Roundcube es “strongly recommend to update all productive installations of Roundcube 1.6.x and 1.7.x”.

Cómo saber si tu servidor está expuesto

Lo primero es identificar la versión exacta que corre tu instalación. Roundcube expone su versión en varios lugares, pero el más fiable para auditoría remota es el banner HTTP y los metadatos del servidor:

# Verificar versión vía HTTP headers (Roundcube no expone versión por defecto,
# pero algunos plugins skin_footer.html pueden delatar)
curl -sI https://correo.tu-dominio.com/ | head -20
# Si tienes acceso shell al servidor, la versión está en VERSION:
sudo grep -E "^VERSION" /var/www/roundcube/program/include/iniset.php 2>/dev/null
# O más fácil: leer el archivo VERSION directamente
cat /var/www/roundcube/VERSION 2>/dev/null
cat /usr/share/roundcube/VERSION 2>/dev/null
cat /opt/roundcube/VERSION 2>/dev/null

Una vez identificada la versión, comprueba si el plugin vulnerable está activo:

# Buscar la línea que activa virtuser_query en la configuración
sudo grep -E "virtuser_query" /var/www/roundcube/config/config.inc.php
# Resultado típico vulnerable:
# $config['plugins'] = array('virtuser_query', 'archive', 'managesieve');
# # Si virtuser_query aparece en el array, tu servidor es explotable

Para una auditoría más profunda que confirme intentos de explotación, revisa los logs del servidor web y de base de datos:

# Buscar patrones de inyección SQL en logs de acceso (últimos 7 días)
sudo grep -E "(union|select|%27|%22|0x[0-9a-f]+)" 
  /var/log/apache2/access.log /var/log/nginx/access.log 
  2>/dev/null | grep -i "roundcube|webmail" | tail -50
# Revisar logs de MySQL/PostgreSQL por queries sospechosas desde Roundcube
sudo grep -iE "union.*select|information_schema|load_file" 
  /var/log/mysql/mysql.log /var/log/postgresql/*.log 
  2>/dev/null | tail -30
# Buscar queries ejecutadas por el plugin virtuser_query específicamente
sudo grep "virtuser_query" /var/log/syslog 2>/dev/null | tail -20

Si encuentras consultas con payloads como ' UNION SELECT o intentos de enumerar information_schema.tables originados desde Roundcube, asume compromiso: el atacante probablemente ya extrajo credenciales de buzones. Es momento de rotar contraseñas y revisar el buzón completo, no solo la base de datos.

Mitigación inmediata (5 minutos)

Si no puedes actualizar en este momento, hay dos mitigaciones temporales que cierran la superficie específica de CVE-2026-48842:

# OPCIÓN 1: Deshabilitar virtuser_query (la más rápida)
sudo nano /var/www/roundcube/config/config.inc.php
# Buscar la línea $config['plugins'] y quitar 'virtuser_query':
$config['plugins'] = array_diff(
    $config['plugins'] ?? [],
    ['virtuser_query']
);
# O reescribir completamente el array sin virtuser_query
# OPCIÓN 2: Si usas la suite de plugins en un solo array
$config['plugins'] = array('archive', 'managesieve', 'password');
# (sin virtuser_query)
# Verificar que el plugin sigue funcionando tu login normal:
# - Limpia cache del navegador
# - Intenta login con un usuario real
# - Confirma que la redirección al buzón IMAP sigue funcionando

Si tu instalación depende absolutamente de virtuser_query (por ejemplo, porque mapeas direcciones virtuales tipo [email protected] a buzones internos), entonces necesitas actualizar a 1.6.16+ o 1.7.1+ — no hay mitigación intermedia válida. El bypass en preg_replace() no se puede parchear con WAF porque la carga útil es indistinguible de una dirección de correo normal hasta que se procesa en el backend.

Actualización permanente (versión soportada)

El procedimiento de actualización varía según la distribución o método de instalación. Estos son los tres caminos más comunes:

# DEBIAN/UBUNTU con paquete oficial (comprobar versión actual primero)
dpkg -l roundcube* 2>/dev/null | grep ^ii
sudo apt-get update
sudo apt-get install --only-upgrade roundcube roundcube-core roundcube-plugins
# Confirmar la nueva versión tras instalar
dpkg -l roundcube-core 2>/dev/null | tail -1
# RED HAT / ROCKY / ALMA con dnf
rpm -qa | grep roundcube
sudo dnf update roundcube
# INSTALACIÓN MANUAL desde tarball (método más común en producción)
cd /var/www
sudo wget https://github.com/roundcube/roundcubemail/releases/download/1.6.19/roundcubemail-1.6.19-complete.tar.gz
sudo tar xzf roundcubemail-1.6.19-complete.tar.gz
sudo rsync -av roundcubemail-1.6.19/ roundcube/
sudo chown -R www-data:www-data roundcube/
# (o el usuario/grupo que use tu servidor web: nginx/apache)
# IMPORTANTE: ejecutar el script de actualización de esquema de DB
cd /var/www/roundcube
sudo php bin/initdb.sh --dir=SQL/mysql --update

Tras actualizar, purga caches y reinicia servicios para asegurar que PHP-FPM o tu servidor web carguen la nueva versión:

# Limpiar cache de Roundcube (sesiones temporales + cache de templates)
sudo rm -rf /var/www/roundcube/temp/*
# Reiniciar PHP-FPM y servidor web
sudo systemctl restart php8.3-fpm nginx    # Debian/Ubuntu con PHP 8.3
sudo systemctl restart php-fpm httpd       # RHEL family
# Verificación final: la versión en VERSION debe ser 1.6.19 o 1.7.4
cat /var/www/roundcube/VERSION

Señales de compromiso y respuesta a incidentes

Si encontraste intentos de inyección en los logs o, peor, ya extrajiste evidencia de acceso no autorizado, ejecuta este plan de contención en orden:

1. Cortar acceso: pon Roundcube detrás de un WAF con rate limiting agresivo o directamente fuera de línea hasta confirmar el alcance. Bloquea IPs sospechosas en el firewall temporalmente.
2. Rotar credenciales IMAP: todos los buzones almacenados en la base de datos afectada deben cambiar su contraseña. Asume que cualquier hash bcrypt/argon2 extraído está en proceso de crackeo offline.
3. Auditar accesos: revisa logs IMAP de Dovecot/Postfix buscando logins desde IPs o geolocalizaciones no habituales durante las últimas dos semanas. Cross-referencia con logs de Roundcube.
4. Revisar reglas de correo: filtros Sieve, reenvíos automáticos o reglas de autoreply añadidas durante el período sospechoso son indicadores clásicos de persistencia post-extracción.
5. Notificar: si operas correo para terceros o tu país tiene regulaciones de notificación de brechas (GDPR, Ley 1581 Colombia, LFPDPPP México), el reloj para notificar arranca desde la confirmación del compromiso, no desde la detección.

El campo ip, user_agent y timestamp en la tabla system_log de Roundcube es invaluable para reconstruir qué hizo el atacante dentro de la aplicación. No borres la base de datos antes de hacer un dump forense completo.

Por qué Roundcube sigue siendo un blanco atractivo

Roundcube es el cliente webmail de referencia en self-hosting — viene integrado por defecto en Mailcow, iRedMail, Stalwart, y la mayoría de stacks corporativos con Postfix + Dovecot. Eso lo convierte en un multiplicador de fuerza: un CVE en Roundcube afecta a cientos de miles de servidores en todo el mundo, muchos operados por equipos pequeños sin proceso de parcheo formal.

El patrón de vulnerabilidad es revelador. En los últimos seis meses, el proyecto Roundcube ha publicado más de 20 advisories de seguridad que cubren XSS almacenados, SSRF bypass, LDAP injection, RCE en plugins (incluido markasjunk), filtraciones de tokens OAuth y el SQLi de virtuser_query. La superficie es enorme porque Roundcube procesa contenido HTML no confiable (correos entrantes) y lo renderiza en el navegador — cualquier brecha en el sanitizador HTML, el proxy CSS o el manejo de adjuntos es una vía de ataque. Si tu organización depende de Roundcube, planifica actualizaciones trimestrales como mínimo, idealmente mensuales.

La buena noticia es que el equipo de Roundcube responde rápido a los reportes. El CVE-2026-48842 fue reportado por el investigador skull y arreglado en menos de 60 días, un ciclo respetable para un proyecto open source mantenido por voluntarios. La mala noticia es que muchos operadores no aplican los parches al mismo ritmo.

Resumen

• CVE-2026-48842 es un SQLi pre-auth en el plugin opcional virtuser_query, parcheado desde mayo 2026 (1.6.16 / 1.7.1) pero explotado activamente en septiembre 2026.
• CVSS 8.1. Si tu plugin virtuser_query está activo y tu versión es inferior a 1.6.16 o 1.7.1, asume exposición inmediata.
• Mitigación temporal en 5 minutos: deshabilitar virtuser_query del array de plugins en config.inc.php.
• Fix permanente: actualizar a 1.6.19 LTS o 1.7.4, las versiones más recientes con todos los parches de seguridad acumulados.
• Si detectas intentos de explotación en logs, ejecuta el plan de respuesta a incidentes: contención, rotación de credenciales, auditoría de accesos, notificación.

Preguntas frecuentes

Lee también

• Guía Fedora 44: Novedades, Instalación y Upgrade para Sysadmins Linux
• Configura VLANs en Linux con nmcli: Guía paso a paso para sysadmins
• Protege tu SSH: Guía esencial para configurar Fail2ban en Linux
• Guía Definitiva: Configura Kubernetes con kubeadm en Ubuntu para Sysadmins Linux
• Configura Prometheus y Grafana: Guía DevOps para SysAdmins Linux