Publicado en

Alerta de Ciberseguridad: Vulnerabilidad Crítica en Roundcube Webmail bajo Ataque Activo

•Publicado enVulnerabilidades

Amenaza inminente para la seguridad del correo corporativo

El Centro Canadiense de Ciberseguridad ha emitido una advertencia urgente sobre la explotación activa de una vulnerabilidad crítica en Roundcube Webmail, uno de los clientes de correo electrónico de código abierto más utilizados en entornos empresariales. La falla, identificada como CVE-2026-48842, permite a atacantes remotos comprometer servidores sin necesidad de credenciales previas.

Análisis técnico: CVE-2026-48842

Esta vulnerabilidad presenta una puntuación CVSS de 8.1, lo que la clasifica como de severidad alta. Se trata de una inyección SQL de pre-autenticación localizada en el plugin virtuser_query. El problema técnico radica en un bypass de escape de barras invertidas en la función preg_replace(), lo que permite a un atacante inyectar sentencias SQL arbitrarias directamente en la base de datos del servidor de correo.

Lo más preocupante de este incidente es su naturaleza «pre-auth». Esto significa que el atacante no necesita conocer un nombre de usuario o contraseña para ejecutar el ataque; puede interactuar con el sistema desde el exterior y obtener acceso a información sensible de manera directa.

Impacto para las organizaciones

Según expertos de SentinelOne, la explotación exitosa de esta vulnerabilidad permite a los ciberdelincuentes:

  • Exponer credenciales de cuentas de correo electrónico.
  • Acceder y extraer mensajes almacenados en el servidor.
  • Comprometer la integridad de la base de datos de usuarios.

Datos recientes de la Shadowserver Foundation indican que existen más de 523,000 instancias de Roundcube expuestas en internet, de las cuales una parte significativa aún podría ser vulnerable a este vector de ataque.

Contexto de amenazas y actores involucrados

Roundcube se ha convertido en un objetivo recurrente para grupos de amenazas avanzadas persistentes (APT). En incidentes previos durante el año 2026, actores alineados con intereses estatales han utilizado fallos similares para desplegar web shells y herramientas de post-explotación como VShell, con el fin de realizar espionaje corporativo y gubernamental.

Recomendaciones de seguridad

Desde Intedya, instamos a los responsables de TI y seguridad de la información a tomar medidas inmediatas para mitigar este riesgo:

  1. Actualización inmediata: Es crítico actualizar las instancias de Roundcube Webmail a las versiones 1.6.16 o 1.7.1 (o superiores), donde este fallo ya ha sido corregido.
  2. Revisión de logs: Auditar los registros de acceso a la base de datos y del servidor web en busca de consultas SQL inusuales relacionadas con el plugin virtuser_query.
  3. Gestión de vulnerabilidades: Implementar un ciclo continuo de escaneo y parcheo para evitar que fallos conocidos sean explotados por actores oportunistas.

La seguridad del correo electrónico es un pilar fundamental de la continuidad de negocio. Mantener los sistemas actualizados no es solo una tarea técnica, sino una responsabilidad estratégica en la protección de los activos de información de la organización.

Fuentes