Samo otwarcie spreparowanej wiadomości w Roundcube pozwala napastnikowi czytać i wysyłać pocztę ofiary oraz kraść hasła. CISA i CERT Polska potwierdzają ataki. Zaktualizuj webmail i zmień hasła.
Ten alert jest dla zarządu, CTO i CFO firm, które odbierają pocztę przez przeglądarkę na hostingu lub własnym serwerze z Roundcube Webmail, często nawet o tym nie wiedząc. Werdykt: jeśli Roundcube ma wersję starszą niż 1.5.8 lub 1.6.8, poproś dziś dostawcę o aktualizację do najnowszej wersji i zmień hasła do poczty, bo ta luka była wykorzystywana w atakach na polskie organizacje.
Amerykańska agencja CISA 9 czerwca 2025 roku dopisała do katalogu KEV podatność CVE-2024-42009 w Roundcube Webmail. KEV to lista luk, o których CISA ma dowody, że są wykorzystywane w prawdziwych atakach.
Roundcube filtrował treść wiadomości, usuwając z niej kod, który przeglądarka mogłaby wykonać. W dalszym kroku, przy składaniu widoku wiadomości, część usuniętych elementów wracała. Wystarczyło, że pracownik otworzył spreparowaną wiadomość, a w jego zalogowanej sesji uruchamiał się kod napastnika, który mógł czytać i wysyłać pocztę w jego imieniu.
CERT Polska opisał w czerwcu 2025 roku kampanię wymierzoną w polskie podmioty, w której grupa UNC1151 (łączona z Białorusią lub rosyjskimi służbami) próbowała wykorzystać tę lukę do kradzieży haseł. Poprawka jest dostępna od 4 sierpnia 2024 roku. Termin naprawy wyznaczony przez CISA minął 30 czerwca 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2024-42009 |
Data dodania do CISA KEV | 2025-06-09 |
Termin naprawy wg CISA | 2025-06-30 (21 dni od wpisu) |
Produkt | Roundcube Webmail, poczta w przeglądarce (często w pakietach hostingowych) |
Wersje zagrożone | Do 1.5.7 włącznie oraz 1.6.0 do 1.6.7. Przy instalacji z dystrybucji Linux decyduje numer pakietu i komunikat dystrybutora |
Wersje bezpieczne | 1.5.8 i 1.6.8 (4 sierpnia 2024) i nowsze. CERT Polska zaleca co najmniej 1.6.11 lub 1.5.10, które zamykają też późniejszą lukę CVE-2025-49113. Najnowsze wydania to 1.6.19 i 1.7.4 (6 września 2026) |
Typ podatności | Cross-site scripting (XSS) przez cofnięcie oczyszczania treści w funkcji message_body(); CWE-79 |
Ocena CVSS | 9.3 KRYTYCZNA (CVSS 3.1, NVD i CISA zgodnie). Atak przez sieć, bez logowania, wymaga otwarcia wiadomości przez ofiarę; skutek wychodzi poza sam moduł wiadomości |
Wyobraź sobie obieg dokumentów w urzędzie. Pismo trafia najpierw do osoby, która zamazuje fragmenty niedopuszczone do publikacji. Potem idzie do działu składu, który odtwarza oryginalne formatowanie z pliku roboczego. Dział składu, przywracając wygląd, przywraca też zamazane zdania, bo bierze je z wersji sprzed zamazania. Każdy wykonał swoją pracę poprawnie, a dokument i tak wychodzi z treścią, która nie miała prawa się w nim znaleźć.
Tak działał ten błąd. Filtr Roundcube usuwał z wiadomości niebezpieczny kod, a funkcja przygotowująca wiadomość do wyświetlenia częściowo to czyszczenie cofała. W efekcie kod napastnika uruchamiał się w przeglądarce pracownika, który otworzył e-mail, z jego uprawnieniami do skrzynki. Z zewnątrz program wygląda na zabezpieczony: filtr jest włączony, tylko nie działa skutecznie.
💡 XSS (cross-site scripting) to wstrzyknięcie kodu do strony, który uruchamia się w przeglądarce ofiary z jej uprawnieniami. Sesja to stan zalogowania w przeglądarce, dzięki któremu nie trzeba wpisywać hasła przy każdym kliknięciu. Service Worker to mechanizm przeglądarki działający w tle; w kampanii opisanej przez CERT Polska posłużył do przechwytywania haseł przy logowaniu. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik otwiera e-mail od nieznanego nadawcy | Widzi treść, filtr usuwa kod | Kod napastnika uruchamia się w jego sesji |
Dostęp do skrzynki | Tylko właściciel | Napastnik czyta pocztę i książkę adresową |
Wysyłanie wiadomości | Tylko właściciel | Napastnik wysyła e-maile z prawdziwej skrzynki |
Logowanie do poczty | Hasło trafia tylko do serwera | Kopia hasła może trafić do napastnika |
Działanie poczty | Normalne | Też normalne, więc nikt nic nie zauważa |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności, oparty na kampanii opisanej przez CERT Polska. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Napastnik potrzebuje tylko adresu e-mail ofiary, który zwykle jest na stronie firmy lub fakturze, oraz tego, żeby ofiara otworzyła wiadomość w Roundcube. CISA ocenia, że ataku nie da się zautomatyzować, bo po drugiej stronie musi być osoba otwierająca wiadomość.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Przygotowanie | T+0 min | Wybór firm korzystających z Roundcube i przygotowanie wiadomości, np. „[!IMPORTANT] Invoice to reservation number” | Gotowa kampania |
2. Dostarczenie | T+godziny | Wysłanie e-maila z ukrytym kodem do działu księgowości, sprzedaży lub zarządu | Wiadomość w skrzynce |
3. Otwarcie | T+minuty do dni | Pracownik otwiera wiadomość w Roundcube | Kod działa w jego sesji, instaluje mechanizm przechwytujący logowania |
4. Kradzież haseł | T+dni | Przy kolejnym logowaniu kopia hasła trafia do napastnika | Stały dostęp do skrzynki |
5. Analiza skrzynki | T+dni do tygodni | Przeglądanie korespondencji, pobieranie książki adresowej | Wiedza o kontrahentach i płatnościach |
6. Wykorzystanie | T+tygodnie | Wysyłka kolejnych wiadomości phishingowych z przejętej skrzynki, podmiana numerów kont | Straty finansowe, atak na partnerów |
Mogę Ci jakoś pomóc?
Poczta to główny kanał rozmów o pieniądzach: oferty, zamówienia, faktury, numery kont. Roundcube bywa częścią pakietu hostingowego, więc firma często nie wie, że go używa, a aktualizacja zależy od dostawcy. Ta luka była używana przez grupę państwową przeciw polskim organizacjom.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wymiana haseł, czyszczenie przeglądarek, przegląd skrzynek, praca działu IT zamiast zwykłych zadań | Dni | 10 tys. do 80 tys. PLN (prace IT, przestój) |
Bezpieczeństwo danych | Wyciek korespondencji, książek adresowych i załączników | Od chwili otwarcia wiadomości | 20 tys. do 200 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Przelew na podmienione konto, koszty specjalistów | Tygodnie | 50 tys. do 1 mln PLN (zależnie od wartości przelewów) |
Reputacyjny | Klienci i partnerzy dostają zainfekowane wiadomości z adresu firmy | Tygodnie | 30 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań) | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z Roundcube
starszym niż 1.5.8 lub 1.6.8
Wpływ
5 | . . . . .
4 | . . . ■ . ← WYSOKIE
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest wysoki (pełny wgląd w skrzynkę i wysyłanie poczty w imieniu ofiary), a prawdopodobieństwo wysokie, ale nie maksymalne, bo atak wymaga otwarcia wiadomości i nie jest w pełni automatyczny; potwierdzone kampanie przeciw polskim podmiotom czynią go realnym, a firma z aktualnym Roundcube jest poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Zapytać dostawcę hostingu na piśmie, jaki program obsługuje pocztę w przeglądarce i w jakiej wersji | Dziś | Kierownik IT / CTO |
2 | 🔴 NATYCHMIAST | Zaktualizować Roundcube do najnowszej wersji (co najmniej 1.6.11 lub 1.5.10 według CERT Polska) | Dziś | Administrator poczty / dostawca hostingu |
3 | 🟠 PILNIE | Zmienić hasła do poczty osobom, które mogły otworzyć podejrzane wiadomości | Do 3 dni | Administrator poczty |
4 | 🟠 PILNIE | Przejrzeć aktywność kont pocztowych: logowania z nietypowych miejsc, wysłane wiadomości, filtry i przekierowania | Do 3 dni | Zespół bezpieczeństwa |
5 | 🟠 PILNIE | Wyrejestrować nieznane Service Workery w przeglądarkach używanych do poczty (zalecenie CERT Polska) | Do 7 dni | Dział IT |
6 | 🟡 WAŻNIE | Wprowadzić telefoniczne potwierdzanie zmian numerów kont kontrahentów na znany wcześniej numer | Do 7 dni | CFO |
7 | 🟡 WAŻNIE | Włączyć logowanie dwuskładnikowe do poczty i ustalić z dostawcą maksymalny czas wdrażania krytycznych poprawek | Do 30 dni | CTO |
Twórcy Roundcube wydali poprawkę w sierpniu 2024 roku, a dystrybucje Linux dostarczyły ją w różnych terminach, od sierpnia 2024 roku (Debian) do lipca 2025 roku (Ubuntu). Jeśli dostawca zwleka, pomagają poniższe środki. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Czasowe przejście na klienta poczty w programie (np. Outlook, Thunderbird) zamiast webmaila | Średnia do wysokiej wobec tej luki | Średnia |
Logowanie dwuskładnikowe do poczty | Średnia: utrudnia wykorzystanie skradzionego hasła, nie chroni sesji | Średnia |
Ostrzeżenie pracowników o wiadomościach z prośbą o fakturę za rezerwację i podobnych | Niska: atak działa po samym otwarciu | Łatwa |
Zmiana dostawcy hostingu na takiego, który szybko wdraża poprawki | Wysoka długoterminowo | Trudna |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja Roundcube | Nieznana, możliwie sprzed sierpnia 2024 roku | Najnowsza, potwierdzona pisemnie |
Hasła do poczty | Mogły zostać przechwycone | Zmienione |
Przeglądarki pracowników | Możliwe złośliwe Service Workery | Sprawdzone i wyczyszczone |
Zmiana konta kontrahenta | Na podstawie e-maila | Potwierdzana telefonicznie |
Zgodność z wymogami | Zaległość wobec terminu CISA z 30 czerwca 2025 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). CERT Polska opisał kampanię przeciw polskim podmiotom |
Grupy przestępcze | UNC1151, łączona przez Mandiant z rządem Białorusi, a przez inne źródła z rosyjskimi służbami (wg CERT Polska) |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.3 KRYTYCZNA (CVSS 3.1, NVD i CISA) |
PoC dostępny publicznie? | SonarSource, który wykrył błąd, opublikował analizę techniczną; brak potwierdzonej informacji o publicznym gotowym kodzie ataku |
Liczba atakowanych firm | Brak publicznych informacji o liczbie ofiar |
Automatyzacja ataku | Nie (ocena CISA), skutek techniczny całkowity |
Skutki w kampanii UNC1151 | Kradzież haseł przy logowaniu, analiza skrzynek, pobieranie książek adresowych, wysyłka kolejnych wiadomości phishingowych z przejętych kont |
Prognoza EPSS | Ponad 80%, najwyższy ułamek procenta podatności (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2024-42009
CVSS 3.1 (NVD/CISA) 9.3/10 ███████████████████░ KRYTYCZNA
EPSS (próba w 30 dni) >80% ████████████████░░░░ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ataki w Polsce TAK ████████████████████ CERT Polska, UNC1151
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia
Mogę Ci jakoś pomóc?
2024-08-04 Roundcube wydaje wersje 1.5.8 i 1.6.8 z poprawką
2024-08-05 Publikacja CVE-2024-42009
2024-08 Debian wydaje poprawione pakiety
2024-10 SUSE wydaje poprawiony pakiet
2025-06-05 CERT Polska opisuje kampanię UNC1151 wobec polskich podmiotów
2025-06-09 CISA dodaje lukę do katalogu KEV
2025-06-30 Termin naprawy wg CISA dla agencji federalnych
2025-07 Ubuntu wydaje poprawiony pakiet
2026-09-06 Roundcube 1.6.19 i 1.7.4
2026-09-17: TUTAJ JESTEŚMY Komunikat twórców Roundcube: roundcube.net, Security updates 1.6.8 and 1.5.8 . Analiza kampanii w Polsce: CERT Polska, UNC1151 exploiting Roundcube . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2024-42009 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Wysłać do dostawcy hostingu pytanie o nazwę i wersję webmaila oraz datę aktualizacji | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastową aktualizację Roundcube, jeśli wersja jest za stara | CTO | DZISIAJ |
3 | Zlecić przegląd aktywności kont pocztowych i zmianę haseł zagrożonym osobom | CTO | DO JUTRA |
4 | Wprowadzić telefoniczne potwierdzanie zmian numerów kont kontrahentów | CFO | DO JUTRA |
5 | Sprawdzić przelewy z ostatnich miesięcy, przy których zmieniono numer konta na podstawie e-maila | CFO | DO JUTRA |
6 | Sprawdzić w umowie hostingowej czas wdrażania poprawek bezpieczeństwa | CFO | DO JUTRA |
7 | Zgłosić podejrzenie incydentu do CERT Polska, jeśli przegląd coś wykaże | CTO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy nasza poczta w przeglądarce działa na Roundcube? | TAK / NIE | 🔴 |
2 | Jaka jest dokładna wersja Roundcube lub numer pakietu? | [wersja] | 🔴 |
3 | Kiedy dostawca zainstalował wersję z poprawką? | [data] | 🔴 |
4 | Czy ktoś w firmie dostał wiadomość z prośbą o fakturę za rezerwację lub podobną? | TAK / NIE | 🟠 |
5 | Czy sprawdziliśmy logowania i wysłane wiadomości kont pocztowych pod kątem nietypowej aktywności? | TAK / NIE | 🟠 |
6 | Czy poczta ma włączone logowanie dwuskładnikowe? | TAK / NIE | 🟠 |
7 | W jakim czasie dostawca wdraża poprawki dla luk z katalogu CISA KEV? | [liczba dni] | 🟡 |
CVE-2024-42009 w Roundcube Webmail pozwala samym otwarciem spreparowanej wiadomości uruchomić kod w sesji pracownika, czytać i wysyłać jego pocztę oraz przechwytywać hasła. CISA potwierdza ataki, a CERT Polska opisał kampanię przeciw polskim podmiotom, więc ustalenie wersji u dostawcy, aktualizacja i zmiana haseł to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
CISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułGoogle i CISA potwierdzają ukierunkowane ataki na lukę w modemie telefonów Pixel, które nie wymagają działania użytkownika. Zaktualizuj telefony do poziomu poprawek 2026-09-05, zaczynając od zarządu.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.