Celah dengan kode CVE-2026-48842 dan skor CVSS 8,1 itu menyerang plugin virtuser_query pada Roundcube versi 1.6.x sebelum 1.6.16 dan 1.7.x sebelum 1.7.1, lewat celah pelolosan backslash pada fungsi preg_replace yang memungkinkan penyerang tanpa login menyuntikkan SQL ke basis data di belakangnya. Data Shadowserver menunjukkan lebih dari 523.000 instans Roundcube terpapar internet, namun hanya sekitar 10 yang masih ditandai rentan per akhir September 2026.
Risikonya serius karena eksploitasi yang berhasil bisa membocorkan kredensial akun surel dan pesan tersimpan tanpa perlu masuk sama sekali, mengubah server webmail menjadi sumber intelijen langsung. Roundcube berulang kali menjadi target, termasuk celah-celah sebelumnya pada 2026 yang masuk katalog eksploitasi CISA, sehingga instans yang belum ditambal tetap bernilai tinggi bagi penyerang yang mengincar komunikasi sensitif.
Sumber: Cyber Recaps
