هشدار درباره بهره‌برداری فعال از آسیب‌پذیری تزریق SQL پیش از احراز هویت در Roundcube Webmail

همانند آسیب‌پذیری‌های گسترده سرورهای Microsoft Exchange در سال‌های گذشته، نقص امنیتی جدید در Roundcube Webmail نیز قلب ارتباطات سازمانی را هدف قرار داده است؛ اما با یک تفاوت عمده: در اینجا نیازی به زنجیره‌ای از حملات پیچیده نیست. مهاجمان تنها با دور زدن یک فیلتر ساده در عبارات باقاعده (Regular Expressions)، می‌توانند کنترل پایگاه داده را به دست بگیرند. مرکز امنیت سایبری کانادا در ۲۱ سپتامبر ۲۰۲۶ با انتشار هشداری اعلام کرد: «گزارش‌های منابع باز نشان می‌دهد که آسیب‌پذیری CVE-2026-48842 در دنیای واقعی در حال سوءاستفاده است.»[1][2]

این آسیب‌پذیری که با شناسه CVE-2026-48842 ردیابی می‌شود، یک نقص «تزریق اس‌کیوال» (SQL Injection) با شدت بالا و امتیاز ۸.۱ از ۱۰ است. مشکل اصلی در افزونه‌ای به نام virtuser_query نهفته است؛ افزونه‌ای که وظیفه دارد آدرس‌های ایمیل را پیش از ورود کاربر، به نام‌های کاربری صندوق پستی متصل کند. از آنجا که این فرآیند قبل از احراز هویت انجام می‌شود، هکرها برای اجرای حمله نیازی به داشتن نام کاربری یا رمز عبور معتبر ندارند.[1][3]

در نگاه اول، توسعه‌دهندگان Roundcube تلاش کرده بودند تا با استفاده از تابع preg_replace در زبان PHP و افزودن کاراکترهای فرار (Backslash Escaping)، جلوی تزریق کدهای مخرب را بگیرند. با این حال، مهاجمان توانسته‌اند با ارسال رشته‌های متنی خاص که حاوی توالی‌های پیچیده‌ای از کاراکترهای فرار هستند، این مکانیزم دفاعی را دور بزنند.

شرکت امنیتی SentinelOne در این باره می‌نویسد: «مهاجمان احراز هویت نشده می‌توانند از طریق افزونه virtuser_query، کدهای SQL را به پایگاه داده Roundcube تزریق کنند که به طور بالقوه اعتبارنامه‌های حساب ایمیل و پیام‌های ذخیره‌شده را در معرض دید قرار می‌دهد.»[2][3]

پیامدهای این نفوذ می‌تواند برای سازمان‌ها ویرانگر باشد. به گفته محققان امنیتی، در صورت موفقیت‌آمیز بودن حمله، هکرها می‌توانند به اطلاعات محافظت‌شده، هویت کاربران، پیام‌های ذخیره‌شده و دفترچه تلفن‌ها دسترسی پیدا کنند. همچنین امکان دستکاری در عملیات پایگاه داده و نقشه‌برداری از عملکردهای مدیریتی سیستم نیز وجود دارد که راه را برای حملات پیچیده‌تر باز می‌کند.[1][3]

با وجود اینکه بنیاد Roundcube این مشکل را ماه‌ها پیش در ۲۴ مه ۲۰۲۶ با انتشار نسخه‌های ۱.۶.۱۶ و ۱.۷.۱ برطرف کرده است، اما سرعت پایین سازمان‌ها در اعمال وصله‌های امنیتی، فرصت طلایی را برای مهاجمان فراهم کرده است. داده‌های منتشر شده توسط بنیاد Shadowserver نشان می‌دهد که تا تاریخ ۲۳ سپتامبر ۲۰۲۶، بیش از ۵۲۳ هزار نمونه از نرم‌افزار Roundcube در اینترنت قابل دسترسی هستند، هرچند مشخص نیست دقیقاً چه تعداد از آن‌ها هنوز آسیب‌پذیر باقی مانده‌اند.[1][2]

این اولین باری نیست که Roundcube به هدفی جذاب برای هکرها تبدیل می‌شود. در سال‌های اخیر، آژانس امنیت سایبری و زیرساخت ایالات متحده (CISA) حداقل ۱۱ آسیب‌پذیری مختلف در این نرم‌افزار متن‌باز را به عنوان «مورد سوءاستفاده فعال» طبقه‌بندی کرده است. در ماه ژوئیه ۲۰۲۶ نیز شرکت Proofpoint گزارش داد که یک گروه هکری وابسته به چین با نام UNK_MassTraction از نقص‌های امنیتی این پلتفرم برای نصب ابزارهای کنترل از راه دور (Web Shell) استفاده کرده است.[1][2]

کارشناسان امنیتی تاکید می‌کنند که مدیران سیستم نباید به این هشدار به چشم یک به‌روزرسانی معمولی نگاه کنند. سازمان‌هایی که از زیرساخت‌های مبتنی بر Roundcube استفاده می‌کنند، باید فوراً سیستم‌های خود را به نسخه‌های ایمن ارتقا دهند و لاگ‌های سرور خود را برای یافتن نشانه‌های احتمالی نفوذ در ماه‌های گذشته بررسی کنند. در صورتی که امکان به‌روزرسانی فوری وجود ندارد، غیرفعال کردن افزونه virtuser_query می‌تواند به عنوان یک راهکار موقت عمل کند.[1][3]

در نهایت، این رویداد بار دیگر نشان می‌دهد که اتکای صرف به فیلترهای متنی برای جلوگیری از حملات تزریق SQL تا چه حد می‌تواند شکننده باشد. تا زمانی که پروژه‌های متن‌باز و تجاری به جای استفاده از «پرس‌وجوهای پارامتریک» (Parameterized Queries) به روش‌های قدیمی پاکسازی ورودی‌ها تکیه کنند، مهاجمان راه‌های جدیدی برای دور زدن این موانع پیدا خواهند کرد و امنیت زیرساخت‌های حیاتی همچنان در معرض خطر باقی خواهد ماند.[2][3]