Roundcube 1.6.20 ve 1.7.5, 20 hatayı kapatarken eski bir SQL injection aktif olarak sömürülüyor

İki sorun, iki zaman çizelgesi

19 Ekim 2026'da Roundcube webmail projesi, birlikte bildirilen 20 güvenlik açığını kapatan 1.6.20 ve 1.7.5 sürümlerini yayınladı ve yöneticilere tüm canlı 1.6.x ve 1.7.x kurulumlarını güncellemeleri çağrısında bulundu. İki hafta önce, 3 Ekim'de ise Singapur Siber Güvenlik Ajansı (CSA) farklı ve daha eski bir Roundcube açığı hakkında uyarı yayınladı: giriş yapılmadan erişilebilen ve saldırganlar tarafından halihazırda sömürüldüğü bildirilen bir SQL injection.

dev.to'da (aslında fanpino.com'da yayınlanmış) bir yazıda açıklandığı gibi, bunlar farklı düzeltilmiş sürümlere sahip iki ayrı sorun; dolayısıyla yöneticilerin her ikisini de ayrı ayrı kontrol etmesi gerekiyor.

Aktif saldırı altındaki açık

NVD kaydına göre CVE-2026-48842, 1.6.16 öncesi Roundcube 1.6.x ve 1.7.1 öncesi 1.7.x sürümlerini etkiliyor. Bu, virtuser_query eklentisindeki bir ön kimlik doğrulama SQL injection açığı; eklenti, giriş adlarını bir veritabanını sorgulayarak posta kutusu kullanıcılarına çözümlüyor. Kök neden, eklentinin preg_replace() çağrısının temizleyemediği bir ters eğik çizgi (backslash) kaçış karakteri. CSA, sorunu CVSS v3.1 altında 8.1 olarak puanlıyor ve açığın bir saldırganın geçerli kimlik bilgileri olmadan temeldeki veritabanına erişmesine olanak tanıdığını belirtiyor.

Maruziyeti iki etken belirliyor. Hata bir eklentide yaşıyor ve Roundcube eklentileri yalnızca yapılandırmada listelendiklerinde yüklendiğinden, virtuser_query etkin olmayan bir sunucu doğrudan risk altında değil. Ayrıca düzeltme 24 Mayıs 2026'da yayımlandığından, Mayıs sonundan bu yana güncelleme almış her sunucu bu açığı çoktan geride bırakmış durumda — riskli kesim, bahardan beri dokunulmamış kurulumlar; yani tam da saldırganların taradığı ihmal edilmiş sistemler.

Ekim sürümleri neleri düzeltiyor

1.6.20 ve 1.7.5'te kapatılan 20 sorun ayrı bir konu ve proje, bunlardan herhangi birinin aktif sömürüsünü bildirmedi. NVD, kayıtları 22 Ekim'de yayımlamaya başladı; bunlardan üçü öne çıkıyor:

• CVE-2026-114727, 8.3 puan: görseller yeniden boyutlandırılırken güvensiz olabilecek ek içerikleri ImageMagick'e aktarılıyor.
• CVE-2026-114730, 7.2 puan: sunucu tarafı istek sahteciliği (SSRF) filtresi NAT64 aralığı 64:ff9b::/96 üzerinden atlatılabiliyor.
• CVE-2026-114732, 6.8 puan: çok sunuculu kurulumlarda bir takma ad girişi, ait olduğu IMAP sunucusuna bağlanmıyordu.

dev.to yazısında diğerleri de listeleniyor: _uid ve _flag parametrelerindeki CRLF karakterleriyle IMAP komut injection'ı, çeşitli header injection yolları, mark-as-junk eyleminde bir CSRF atlatma, parola sürücüsünün hata işleme kısmında bir XSS ve bir hesabın parolasının başka bir hesaptan değiştirilmesine izin veren bir Modoboa parola sürücüsü hatası. Bunların bir kısmı kimliği doğrulanmış bir oturum gerektirdiğinden, pratik risk, kaç hesabın oturum açabildiğiyle ölçekleniyor.

Kurulumunuzu kontrol etmek

Sürüm dizesi program/include/iniset.php içinde RCMAIL_VERSION olarak yer alır ve gizlenmemişse ayarlar menüsündeki Hakkında bölümünde de görünür. 1.6 dalında hedef 1.6.20'dir; 1.6.0'dan 1.6.15'e kadar olan sürümler de sömürülen CVE'ye açıktır. 1.7 dalında hedef 1.7.5'tir; 1.7.0 da bu açığa maruzdur. 1.5 ve daha eski sürümler bu güncellemeler kapsamında değildir ve 1.6 LTS'ye geçilmeleri gerekir.

Bir kontrol paneli, mail paketi veya container imajı içinde gelen kurulumlar ekstra dikkat gerektirir; çünkü paketin kendi sürüm numarası, içindeki Roundcube hakkında hiçbir şey söylemez. dev.to makalesi, paketin içindeki sürümü ve satıcının yamalı sürümleri yayımlayıp yayımlamadığını kontrol etmeyi öneriyor.

Güncellemeden önce veritabanını ve config/ dizinini yedekleyin. 1.6.20 veya 1.7.5'i resmi GitHub sürümlerinden veya bir dağıtım paketinden kurun, şemanın eşleşmesi için güncelleme betiğini çalıştırın, ardından eklentiler dizisinden kullanılmayan her şeyi çıkarın. virtuser_query, 1.6.16 veya 1.7.1'den eski bir sürümde etkinse, sunucu ele geçirilmiş olabilir olarak değerlendirilmelidir. PHP'nin kendisi de güncel olmalıdır: 21 Ekim'de açıklanan PHP2Shell açıkları Roundcube'un runtime'ına uygulanır ve Roundcube'u güncellemek PHP'yi güncellemez.

Maruz kalan kombinasyon çalışıyorsa

Roundcube veritabanına yapılan bir SQL injection, o veritabanının tuttuğu her şeye ulaşabilir: kullanıcı tercihleri, adres defterleri, kimlikler ve yapılandırmaya bağlı olarak oturum tablosu. Yazı; yama öncesi oturum açma isteklerinde web sunucusu günlüklerinde ters eğik çizgi ve SQL anahtar sözcükleri aramayı; Roundcube veritabanı kullanıcısının başka nelere dokunabildiğini kontrol edip yetkisini yalnızca Roundcube veritabanıyla sınırlamayı; güncellemeden sonra oturum tablosunu temizleyip des_key'i değiştirmeyi; ve aynı veritabanı sunucusu posta sunucusu kimlik bilgilerini saklıyorsa onları da döndürmeyi öneriyor.

Neden önemli

Webmail, tasarımı gereği internete açık bir hizmettir ve IMAP, SMTP, bir veritabanı, bir görsel kütüphanesi ve PHP runtime'ına dokunur; bu yüzden herhangi bir katmandaki zayıflık, tüm mail hizmetinin zayıflığı haline gelir. Buradaki aktif olarak sömürülen açık öğreticidir: isteğe bağlı bir eklentide, bahardan beri dokunulmamış sunucularda yer alıyor. Yakın zamanda yaşanan Zimbra SNMP komut injection'ı ve PHP2Shell açıklamalarıyla birlikte bu da, etkin eklentilerin ve altındaki runtime'ın mail uygulamasının kendisi kadar önemli olduğunu bir kez daha hatırlatıyor.