Ilustración editorial generada con IA por Defensops. No es una fotografía del incidente ni de los equipos afectados. Representa Entrada SQL no autorizada hacia el correo de Roundcube.

Síntesis y análisis propios a partir de la cobertura de The Hacker News; las afirmaciones del medio se atribuyen a su fuente.

Qué se ha confirmado

The Hacker News informa de que el Centro Canadiense de Ciberseguridad advirtió de explotación activa de CVE-2026-48842 en Roundcube Webmail, citando información de fuentes abiertas.

CVE-2026-48842 es una inyección SQL anterior a la autenticación en el complemento virtuser_query de Roundcube 1.6.x antes de 1.6.16 y 1.7.x antes de 1.7.1.

La publicación atribuye el fallo a una evasión del escape de barras invertidas en preg_replace(), que permite introducir instrucciones SQL sin credenciales.

Según SentinelOne, el acceso al backend de base de datos podría exponer credenciales de correo y mensajes almacenados; la noticia no afirma que se haya confirmado esa extracción en los ataques actuales.

Roundcube publicó las correcciones en mayo de 2026 dentro de las versiones 1.6.16 y 1.7.1.

La cobertura indica que no se divulgaron más detalles de la explotación; un recuento de Shadowserver identificó diez hosts como vulnerables entre más de 523.000 instancias visibles el 23 de septiembre.

Análisis de Defensops

La novedad operativa es el aviso de explotación de un fallo para el que ya existe parche. La exposición depende de que virtuser_query esté presente y de la versión efectiva del servicio; no basta con identificar una instalación de Roundcube para declararla vulnerable. Al ser una inyección anterior al inicio de sesión, los sistemas afectados no necesitan que el atacante posea una cuenta para recibir peticiones maliciosas.

El posible acceso a credenciales y mensajes eleva el impacto de una intrusión, pero la fuente no documenta resultados concretos de los ataques señalados por la autoridad canadiense. Tampoco puede usarse la cifra de Shadowserver como censo de todos los sistemas vulnerables: es una observación puntual de equipos visibles y clasificados por ese servicio. La revisión local de configuración, versión y registros resulta más fiable para tomar decisiones.

Prioridades de revisión

Con urgencia, inventariar instancias de Roundcube expuestas y comprobar si utilizan el complemento virtuser_query y una versión 1.6.x anterior a 1.6.16 o 1.7.x anterior a 1.7.1.

Actualizar las instancias afectadas a una versión corregida de su rama y verificar la versión cargada por el servicio después del despliegue.

Revisar registros de acceso y de base de datos en los sistemas que estuvieron expuestos para localizar consultas o errores anómalos asociados al complemento; preservar evidencias si hay indicios de acceso no autorizado.

Si se confirma acceso a la base de datos, delimitar qué credenciales y mensajes pudieron quedar expuestos antes de decidir rotaciones y notificaciones.

Qué no se ha confirmado

El aviso canadiense citado no describe víctimas, fechas de inicio ni técnica concreta de los ataques observados.

La noticia no confirma robo de credenciales o mensajes en la explotación actual.

El recuento de Shadowserver no establece el número total de instalaciones vulnerables.

Fuente

The Hacker News. Fecha indicada: 2026-09-25.