Alerta: Falla crítica en Roundcube Webmail siendo explotada activamente
Si usás Roundcube Webmail en tu servidor o tu empresa confía en este sistema para gestionar correos, tenés que estar atento. El Centre de Ciberseguridad canadiense acaba de emitir una alerta sobre una vulnerabilidad crítica que ya está siendo explotada en ataques reales. No es un riesgo teórico: los atacantes ya están en la cancha.
¿Qué pasó?
El problema está en CVE-2026-48842, una falla de SQL injection pre-autenticación (es decir, sin necesidad de credenciales) en el plugin virtuser_query de Roundcube Webmail. Las versiones afectadas son las 1.6.x anteriores a la 1.6.16 y las 1.7.x anteriores a la 1.7.1. Con una puntuación CVSS de 8.1, estamos hablando de una vulnerabilidad de severidad alta.
El defecto técnico radica en cómo se implementa una función preg_replace() que no valida correctamente las barras invertidas (backslash). Esto permite a un atacante inyectar comandos SQL maliciosos sin estar autenticado, accediendo potencialmente a datos sensibles de la base de datos del servidor de correos.
Lo más preocupante es que ya hay ataques activos en la naturaleza. No es un CVE que descubrieron y parquearon: los cibercriminales ya están aprovechando esta brecha para infiltrarse en servidores de correo.
¿Por qué importa en Argentina y América Latina?
En la región, muchas pequeñas y medianas empresas (PyMEs) argentinas, uruguayas, chilenas y colombianas confían en Roundcube como solución económica para webmail corporativo. Es especialmente popular en hosters y proveedores de alojamiento web de LATAM. Si tu proveedor de hosting no ha actualizado sus servidores, tu correo corporativo podría estar comprometido ahora mismo.
Además, con la creciente sofisticación de los ciberataques en la región, una brecha así es oro puro para atacantes que buscan acceso inicial a redes corporativas. Desde allí, pueden lanzar campañas de ransomware, robar datos sensibles o ejecutar movimientos laterales dentro de tu infraestructura.
¿Qué se recomienda?
- Actualiza ya: Si administrás un servidor con Roundcube, instala la versión 1.6.16 o 1.7.1 (o superior) de inmediato. No esperes.
- Consulta a tu proveedor: Si usás hosting en Argentina o LATAM, contactá a tu proveedor para confirmar si ya parcheó Roundcube. Exigí confirmación por escrito.
- Revisa logs: Si tenés acceso, inspecciona los logs de tu servidor web para detectar intentos sospechosos de acceso a archivos de configuración o bases de datos entre septiembre y hoy.
- Cambiá contraseñas: Como medida de precaución, considerá cambiar las contraseñas de cuentas de correo críticas, especialmente las administrativas.
- Activa auditoría: Asegurate de tener habilitados logs de acceso y cambios en tu base de datos para detectar movimientos anómalos.
Fuente: The Hacker News
