Aktiv ausgenutzte Roundcube Sicherheitslücke CVE-2026-48842 ermöglicht SQL-Injection ohne Login

Die Roundcube Sicherheitslücke CVE-2026-48842 wird laut dem Canadian Centre for Cyber Security inzwischen in freier Wildbahn ausgenutzt. Die Schwachstelle ermöglicht eine SQL-Injection vor der Anmeldung und befindet sich im virtuser_query-Plugin von Roundcube Webmail. Ein Angreifer benötigt weder ein gültiges E-Mail-Konto noch eine Benutzerinteraktion, um eine verwundbare Konfiguration anzugreifen.

Roundcube hat CVE-2026-48842 bereits am 24. Mai 2026 mit den Versionen 1.6.16 und 1.7.1 behoben. Die Risikolage hat sich inzwischen jedoch verändert: Das Canadian Centre for Cyber Security aktualisierte seine Sicherheitswarnung am 21. September 2026 und meldet, dass Open-Source-Berichte auf eine aktive Ausnutzung der Schwachstelle in freier Wildbahn hinweisen.

Da Roundcube häufig als Webmail-Lösung in Hosting-Umgebungen eingesetzt und direkt aus dem Internet erreichbar ist, empfiehlt Vservs Administratoren, sowohl die installierte Roundcube-Version als auch die aktivierten Plugins umgehend zu überprüfen.

Was ist die Roundcube Sicherheitslücke CVE-2026-48842?

CVE-2026-48842 ist eine Pre-Authentication-SQL-Injection im virtuser_query-Plugin von Roundcube Webmail.

Das Plugin kann verwendet werden, um eingegebene E-Mail-Adressen oder Benutzernamen über SQL-Abfragen den entsprechenden Mailbox-Konten zuzuordnen. Die verwundbare Implementierung versucht, von Benutzern kontrollierte Eingaben zu maskieren, bevor diese in einer SQL-Abfrage verarbeitet werden.

Durch einen Fehler bei der Verarbeitung von Backslashes mit PHP preg_replace() kann ein Angreifer diese Schutzmaßnahme jedoch umgehen. Speziell präparierte Eingaben können dadurch die Struktur der anschließend ausgeführten SQL-Abfrage beeinflussen.

Die Schwachstelle wird als CWE-89 eingestuft: Improper Neutralization of Special Elements used in an SQL Command, allgemein als SQL-Injection bezeichnet.

• CVE: CVE-2026-48842
• Software: Roundcube Webmail
• Betroffene Komponente: virtuser_query-Plugin
• Typ: Pre-Authentication SQL-Injection
• Severity: High
• CVSS 3.1: 8,1
• Authentifizierung erforderlich: Nein
• Benutzerinteraktion erforderlich: Nein
• Exploit-Status: Ausnutzung in freier Wildbahn gemeldet

Welche Roundcube-Versionen sind verwundbar?

Die Roundcube Sicherheitslücke betrifft die folgenden Versionen, wenn das virtuser_query-Plugin verwendet wird:

• Roundcube 1.6.x vor 1.6.16 – verwundbar
• Roundcube 1.7.x vor 1.7.1 – verwundbar
• Roundcube 1.6.16 und neuer – CVE-2026-48842 behoben
• Roundcube 1.7.1 und neuer – CVE-2026-48842 behoben

Eine ältere Roundcube-Version allein bedeutet nicht automatisch, dass CVE-2026-48842 ausgenutzt werden kann. Der verwundbare Code befindet sich speziell im virtuser_query-Plugin. Eine Installation, bei der dieses Plugin nicht aktiviert oder konfiguriert ist, ist über diesen spezifischen Angriffsweg nicht verwundbar.

Am besten direkt auf Roundcube 1.6.19 oder 1.7.4 aktualisieren

Obwohl CVE-2026-48842 ursprünglich bereits mit Roundcube 1.6.16 und 1.7.1 behoben wurde, empfiehlt Vservs nicht, eine Produktivumgebung heute lediglich auf diese Mindestversionen zu aktualisieren.

Roundcube hat seit Mai weitere Sicherheitsupdates veröffentlicht. Am 6. September 2026 erschienen Roundcube 1.6.19 und 1.7.4. Diese Versionen beheben zusätzliche Sicherheitsprobleme, darunter XSS-, Header-Injection-, SSRF- und Remote-Content-Filter-Schwachstellen.

Roundcube empfiehlt ausdrücklich, alle produktiv eingesetzten Installationen der Versionszweige 1.6.x und 1.7.x auf diese aktuellen Security-Releases zu aktualisieren.

Wo technisch möglich, sollte deshalb direkt die aktuelle unterstützte Sicherheitsversion des verwendeten Roundcube-Zweigs installiert werden.

Was kann ein Angreifer mit CVE-2026-48842 erreichen?

Ein Angreifer kann speziell präparierte Eingaben an eine verwundbare Roundcube-Installation senden und dadurch Daten in eine SQL-Abfrage einschleusen, deren Struktur vom Angreifer beeinflusst werden kann.

Da der verwundbare Codepfad bereits vor einer erfolgreichen Authentifizierung erreichbar ist, benötigt der Angreifer weder eine gültige Mailbox noch einen Roundcube-Benutzernamen oder ein Passwort.

Eine erfolgreiche SQL-Injection kann abhängig von der Roundcube-Konfiguration, dem eingesetzten Datenbanksystem und den Berechtigungen des Roundcube-Datenbankkontos Auswirkungen auf die Vertraulichkeit, Integrität und Verfügbarkeit der zugänglichen Daten haben.

Der CVSS-Vektor für CVE-2026-48842 bewertet die möglichen Auswirkungen auf Confidentiality, Integrity und Availability jeweils als hoch.

Die Schwachstelle sollte jedoch nicht automatisch als Remote Code Execution bezeichnet werden. Bestätigt ist eine SQL-Injection. Welche weiteren Angriffsmöglichkeiten daraus entstehen, hängt unter anderem von der Datenbankkonfiguration und den Berechtigungen des verwendeten Datenbankkontos ab.

CVE-2026-48842 wird aktiv in freier Wildbahn ausgenutzt

Das Canadian Centre for Cyber Security hat seine Roundcube-Sicherheitswarnung am 21. September 2026 aktualisiert.

Das Cyber Centre meldet ausdrücklich, dass Open-Source-Berichte darauf hinweisen, dass CVE-2026-48842 in freier Wildbahn ausgenutzt wird.

Damit handelt es sich nicht mehr ausschließlich um eine theoretische Sicherheitslücke, für die seit Mai ein Patch verfügbar ist.

Öffentlich verfügbare Informationen enthalten derzeit allerdings nur wenige Details über die beteiligten Angreifer, betroffenen Organisationen oder die vollständige Angriffskette. Es ist deshalb nicht belegt, dass jede verwundbare und aus dem Internet erreichbare Roundcube-Installation aktiv angegriffen wird.

Ebenso sollte aus der gemeldeten Ausnutzung nicht automatisch auf eine vollständige Serverübernahme geschlossen werden. Bestätigt ist die aktive Ausnutzung der SQL-Injection-Schwachstelle.

Ungepatchte Installationen, auf denen virtuser_query verwendet wird, sollten deshalb mit hoher Priorität untersucht und aktualisiert werden.

Was sollten Roundcube-Administratoren jetzt tun?

• Die installierte Roundcube-Version sofort überprüfen.
• Prüfen, ob das virtuser_query-Plugin aktiviert oder konfiguriert ist.
• Verwundbare Roundcube-Installationen umgehend aktualisieren.
• Wo möglich direkt Roundcube 1.6.19 oder 1.7.4 einsetzen, anstatt lediglich auf die ursprünglichen Mindestversionen 1.6.16 oder 1.7.1 zu aktualisieren.
• virtuser_query deaktivieren, wenn das Plugin nicht benötigt wird.
• Die Rechte des Roundcube-Datenbankkontos auf die tatsächlich benötigten Datenbankberechtigungen beschränken.
• Internet-facing Roundcube-Installationen, auf denen während des verwundbaren Zeitraums virtuser_query aktiv war, auf verdächtige Aktivitäten untersuchen.

Prüfen, ob virtuser_query aktiviert ist

CVE-2026-48842 befindet sich nicht in der normalen IMAP-Funktionalität von Roundcube, sondern speziell im virtuser_query-Plugin.

Administratoren sollten deshalb die Roundcube-Konfiguration kontrollieren und feststellen, ob virtuser_query in der Liste der aktivierten Plugins enthalten ist.

Wird das Plugin für die verwendete Mail- oder Hosting-Konfiguration nicht benötigt, kann das Deaktivieren dieses Plugins den spezifischen Angriffsweg von CVE-2026-48842 beseitigen.

Das Deaktivieren des Plugins sollte jedoch nicht als Ersatz für ein Roundcube-Update betrachtet werden. Neuere Roundcube-Versionen beheben zusätzlich weitere Sicherheitsprobleme, die unabhängig von CVE-2026-48842 bestehen.

Auf eine mögliche Kompromittierung prüfen

Für Roundcube-Server, auf denen während des verwundbaren Zeitraums virtuser_query aktiviert und die Webmail-Oberfläche aus dem Internet erreichbar war, empfiehlt Vservs eine zusätzliche Sicherheitsprüfung.

Administratoren sollten insbesondere folgende Punkte kontrollieren:

• Webserver-Access-Logs auf ungewöhnliche Requests an die Roundcube-Loginumgebung prüfen;
• auf auffällige Backslash-Sequenzen, Anführungszeichen und SQL-Syntax in Parametern oder POST-Daten achten;
• verdächtige Requests mit fehlgeschlagenen Anmeldeversuchen und Datenbankfehlern zeitlich abgleichen;
• Datenbank- und Application-Logs auf unerwartete oder fehlerhafte SQL-Abfragen aus Roundcube untersuchen;
• auf unerwartete Änderungen an Daten achten, auf die das Roundcube-Datenbankkonto zugreifen kann;
• die Roundcube-Installation auf neue oder unerwartet veränderte Dateien überprüfen;
• ungewöhnliche ausgehende Netzwerkverbindungen des Webmail-Servers untersuchen;
• die Berechtigungen des von Roundcube verwendeten Datenbankkontos überprüfen;
• Roundcube-Datenbankzugangsdaten ändern, wenn konkrete Hinweise auf eine erfolgreiche Ausnutzung vorliegen.

Ein ungewöhnlicher Request oder SQL-Fehler allein ist noch kein Beweis für eine erfolgreiche Kompromittierung. Webserver-, Anwendungs- und Datenbanklogs sollten gemeinsam ausgewertet werden, bevor festgestellt wird, dass ein Angriff tatsächlich erfolgreich war.

Warum diese Sicherheitslücke für Hosting-Umgebungen besonders relevant ist

Roundcube ist ein weit verbreiteter Open-Source-Webmail-Client und wird von Hostingprovidern und Hosting-Control-Panels eingesetzt, um Benutzern den Zugriff auf ihre E-Mail-Konten über einen Webbrowser zu ermöglichen.

Webmail-Oberflächen sind typischerweise direkt aus dem Internet erreichbar. Bei CVE-2026-48842 ist zudem keine gültige Benutzersitzung erforderlich, wenn die verwundbare virtuser_query-Konfiguration vorhanden ist.

Die Kombination aus einem öffentlich erreichbaren Dienst, einer Pre-Authentication-SQL-Injection und inzwischen gemeldeter aktiver Ausnutzung macht die Überprüfung älterer Roundcube-Installationen für Hostingprovider und Serveradministratoren besonders wichtig.

Managed VPS bei Vservs

Vservs überwacht Sicherheitsprobleme in häufig eingesetzter Hostingsoftware, Content-Management-Systemen und den zugrunde liegenden Serverkomponenten aktiv.

Mit einem Managed VPS von Vservs übernehmen wir unter anderem die technische Serververwaltung, relevante Sicherheitsupdates, Monitoring und Server-Hardening.

Bei Unmanaged VPS-Servern bleibt die Kontrolle, Bewertung und Installation von Sicherheitsupdates für Anwendungen und Serverkomponenten in der Verantwortung des Administrators.

Fazit

Die Roundcube Sicherheitslücke CVE-2026-48842 ist eine Pre-Authentication-SQL-Injection im virtuser_query-Plugin. Roundcube 1.6.x vor 1.6.16 und Roundcube 1.7.x vor 1.7.1 sind verwundbar, wenn dieses Plugin verwendet wird.

Die Schwachstelle ist bereits seit Mai behoben. Die Risikolage hat sich jedoch verändert, nachdem das Canadian Centre for Cyber Security am 21. September 2026 meldete, dass Open-Source-Berichte auf eine aktive Ausnutzung von CVE-2026-48842 in freier Wildbahn hinweisen.

Da Roundcube inzwischen weitere Sicherheitsupdates veröffentlicht hat, empfiehlt Vservs, wo technisch möglich direkt auf die aktuellen Security-Releases Roundcube 1.6.19 beziehungsweise 1.7.4 zu aktualisieren.

Administratoren sollten zusätzlich ausdrücklich kontrollieren, ob virtuser_query aktiviert ist, und verwundbare Internet-facing Installationen auf verdächtige Requests und Datenbankaktivitäten untersuchen.

Quellen

• Roundcube – Security updates 1.6.16 and 1.7.1 released, 24. Mai 2026
• Roundcube – Security updates 1.6.19 and 1.7.4 released, 6. September 2026
• Canadian Centre for Cyber Security – Roundcube security advisory AV26-503, aktualisiert am 21. September 2026
• SecurityWeek – Roundcube Webmail Vulnerability in Attackers‘ Crosshairs, 25. September 2026
• The Hacker News – Roundcube Pre-Auth SQL Injection Flaw Actively Exploited in the Wild, 25. September 2026