Zalogowany użytkownik Roundcube starszego niż 1.5.10 i 1.6.11 może uruchomić polecenia na serwerze poczty. CISA potwierdza ataki. Sprawdź wersję u siebie i u hostingodawcy, zaktualizuj dziś.
Ten alert jest dla zarządu, CTO i CFO firm, które mają pocztę firmową w przeglądarce Roundcube, często dostarczaną razem z hostingiem lub panelem cPanel. Werdykt: jeśli Roundcube na Twoim serwerze jest starszy niż 1.5.10 lub 1.6.11, zaktualizuj go dziś, bo jedno zwykłe konto pocztowe wystarcza do przejęcia całego serwera poczty, a luka jest aktywnie wykorzystywana.
Amerykańska agencja CISA 20 lutego 2026 roku dopisała podatność CVE-2025-49113 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd siedzi w module wysyłania załączników w ustawieniach Roundcube: parametr _from w adresie nie był sprawdzany, a program rozpakowywał jego treść jako gotowy obiekt. Zalogowany użytkownik może w ten sposób uruchomić własne polecenia na serwerze.
Poprawka jest dostępna od 1 czerwca 2025 roku, a CISA oceniła wykorzystanie jako aktywne już 10 czerwca 2025 roku. Do katalogu KEV luka trafiła jednak osiem miesięcy później, a termin naprawy dla agencji federalnych USA minął 13 marca 2026 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-49113 |
Data dodania do CISA KEV | 2026-02-20 |
Termin naprawy wg CISA | 2026-03-13 (21 dni od wpisu) |
Produkt | Roundcube Webmail (poczta w przeglądarce), także w pakietach dystrybucji Linuksa i panelach cPanel/WHM |
Wersje zagrożone | Roundcube przed 1.5.10 (w tym gałąź 1.4) oraz 1.6.x przed 1.6.11. Atak wymaga ważnego konta pocztowego w danej instalacji (dowolnego, nie administratora) |
Wersje bezpieczne | Roundcube 1.5.10 i 1.6.11 lub nowsze. Debian bookworm: 1.6.5+dfsg-1+deb12u5 (DSA-5934-1), Debian bullseye: 1.4.15+dfsg.1-1+deb11u5 (DLA-4211-1). cPanel/WHM: 110.0.62, 118.0.46, 128.0.9, 130.0.2 (wg niemieckiego ostrzeżenia z 1 czerwca 2025) |
Typ podatności | Deserializacja niezaufanych danych prowadząca do zdalnego wykonania kodu; CWE-502 |
Ocena CVSS | MITRE (instytucja rejestrująca): 9.9 KRYTYCZNA (CVSS 3.1). NVD: 8.8 WYSOKA (CVSS 3.1). Red Hat: waga krytyczna. Atak przez sieć, niskie uprawnienia (zwykłe konto), bez udziału innych osób |
Wyobraź sobie magazyn firmy kurierskiej, w którym paczka z odpowiednim kodem trafia prosto na taśmę i jest automatycznie rozpakowywana, bez oglądania zawartości, bo kody zawsze wystawiał własny magazyn. Problem zaczyna się, gdy kod może nakleić ktokolwiek. Wtedy do wnętrza wjeżdża dokładnie to, czego życzy sobie nadawca.
Tak działa ten błąd. Roundcube przyjmował w adresie internetowym „spakowany” fragment danych i rozpakowywał go bez sprawdzenia. Napastnik z kontem pocztowym podstawia własną paczkę, z której powstaje obiekt wykonujący polecenia na serwerze. Serwer poczty widzi wszystkie skrzynki, archiwa i często pliki strony internetowej obok, więc skutkiem jest przejęcie całości, a nie jednej skrzynki.
💡 Webmail to poczta obsługiwana w przeglądarce, bez instalowania programu. Deserializacja to odtwarzanie obiektu programu z zapisanego skrótu; jeśli skrót pochodzi od obcej osoby, może zawierać polecenia. Zdalne wykonanie kodu (RCE) oznacza, że napastnik uruchamia na serwerze dowolne polecenia. Wymagane uprawnienia: niskie znaczy, że wystarczy zwykłe konto.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Pracownik loguje się do poczty | Widzi tylko swoją skrzynkę | Może (jeśli jest napastnikiem) przejąć cały serwer |
Konto byłego pracownika z niezmienionym hasłem | Dostęp do jednej starej skrzynki | Wejście do całego serwera poczty |
Hasło wykradzione w innym serwisie | Ryzyko dla jednej skrzynki | Ryzyko dla wszystkich skrzynek i strony |
Archiwa korespondencji z klientami | Chronione hasłami użytkowników | Dostępne dla napastnika w całości |
Wysyłka poczty w imieniu firmy | Tylko pracownicy | Także obca osoba z serwera firmy |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Warunek zalogowania nie jest wysoką barierą: wystarczy jedno z wielu kont, zdobyte przez wyłudzenie hasła, bazę wykradzionych haseł lub hasło powtórzone z innego serwisu.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Zdobycie konta | T+0 min | Użycie hasła z wycieku, z phishingu lub zgadnięcie słabego hasła skrzynki technicznej | Działająca sesja w Roundcube |
2. Wykorzystanie luki | T+kilka minut | Wysłanie spreparowanego parametru | Polecenia napastnika wykonywane na serwerze |
3. Utrwalenie | T+15 min | Wgranie ukrytego pliku dającego stały dostęp (tzw. web shell) | Dostęp niezależny od hasła do skrzynki |
4. Kradzież | T+1 do 24 godzin | Kopiowanie wszystkich skrzynek, archiwów i plików strony | Cała korespondencja firmy poza serwerem |
5. Wykorzystanie | T+dni | Wysyłka fałszywych faktur z prawdziwej domeny, podmiana strony, dalsze ataki | Oszustwa, utrata zaufania |
6. Szantaż | T+tygodnie | Groźba publikacji korespondencji lub szyfrowanie serwera | Żądanie zapłaty |
Roundcube często przychodzi razem z hostingiem i nikt nie prowadzi jego rejestru ani aktualizacji. Tymczasem do usługi loguje się cała firma, a czasem także konta dawno zapomniane. Odtworzenie po włamaniu oznacza postawienie serwera od zera i przywrócenie kopii sprzed ataku, a nie tylko zmianę haseł.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączenie poczty na czas odtwarzania serwera | Dni | 15 tys. do 100 tys. PLN (odtworzenie, przestój) |
Bezpieczeństwo danych | Wyciek całej korespondencji, załączników i danych osobowych klientów | Godziny od wejścia | 30 tys. do 200 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Oszustwa na przelewach z prawdziwej domeny, szantaż | Dni do tygodni | 20 tys. do 500 tys. PLN |
Reputacyjny | Klienci dostają fałszywe wiadomości z Twojego adresu | Tygodnie | 30 tys. do 300 tys. PLN (utracone umowy) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin i ewentualnie powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 15 tys. do 120 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z Roundcube bez poprawki
Wpływ
5 | . . . ■ . ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny, bo skutkiem jest przejęcie całego serwera poczty; prawdopodobieństwo jest bardzo wysokie (EPSS 0,98, ataki potwierdzone), a nie maksymalne tylko dlatego, że napastnik potrzebuje działającego konta pocztowego.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firmowa poczta w przeglądarce to Roundcube i w jakiej wersji (także u hostingodawcy i w cPanel) | Dziś | Administrator / firma hostingowa |
2 | 🔴 NATYCHMIAST | Zaktualizować Roundcube do 1.5.10 / 1.6.11 lub nowszego albo pakiet dystrybucji do wersji z poprawką | Dziś | Administrator / firma hostingowa |
3 | 🔴 NATYCHMIAST | Jeśli aktualizacja dziś jest niemożliwa, czasowo wyłączyć dostęp do Roundcube z internetu | Dziś | Administrator |
4 | 🟠 PILNIE | Usunąć lub zablokować konta byłych pracowników i nieużywane skrzynki techniczne | Do 3 dni | Dział IT / kadry |
5 | 🟠 PILNIE | Sprawdzić serwer pod kątem nieznanych plików PHP i podejrzanych procesów od czerwca 2025 roku | Do 7 dni | Administrator / zewnętrzny zespół bezpieczeństwa |
6 | 🟠 PILNIE | Wymusić zmianę haseł do poczty i włączyć uwierzytelnianie wieloskładnikowe, jeśli jest dostępne | Do 7 dni | Dział IT |
7 | 🟡 WAŻNIE | Wpisać Roundcube do rejestru oprogramowania z odpowiedzialną osobą i terminem aktualizacji | Do 30 dni | CTO |
Producent wydał poprawki, a naprawa polega na sprawdzaniu parametru _from w kodzie, więc nie ma obejścia w ustawieniach programu. Poniższe miary tylko ograniczają ryzyko do czasu aktualizacji. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie Roundcube i korzystanie z poczty przez program pocztowy (IMAP) | Wysoka | Łatwa, ale zmienia sposób pracy |
Dostęp do Roundcube tylko przez VPN lub z adresów biura | Średnia: zawęża grono napastników, nie chroni przed przejętym kontem wewnętrznym | Średnia |
Zablokowanie nieużywanych kont i zmiana słabych haseł | Średnia: zmniejsza liczbę „kluczy” do wejścia | Łatwa |
Reguła zapory aplikacyjnej (WAF) blokująca podejrzane wartości parametru | Średnia, zależna od jakości reguły | Średnia do trudnej |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja Roundcube | Nieznana, często stara z panelu hostingu | 1.5.10 / 1.6.11 lub nowsza, wpisana do rejestru |
Skutek przejęcia jednego konta | Przejęcie całego serwera | Dostęp najwyżej do jednej skrzynki |
Konta byłych pracowników | Aktywne, ze starymi hasłami | Usunięte lub zablokowane |
Wiedza o włamaniu | Brak | Serwer sprawdzony pod kątem śladów |
Status wobec terminu CISA | Zaległość od 13 marca 2026 roku | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); CISA oceniła wykorzystanie jako aktywne już 10 czerwca 2025 roku, wpływ techniczny: całkowity |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.9 KRYTYCZNA wg MITRE (CVSS 3.1); 8.8 WYSOKA wg NVD (CVSS 3.1) |
PoC dostępny publicznie? | Odkrywca (Kirill Firsov, FearsOff) opublikował opis badania; nie weryfikowaliśmy dostępności gotowego kodu ataku |
Liczba atakowanych firm | Brak publicznych informacji |
Prognoza EPSS | 0,98, górna setna część procenta wszystkich znanych luk (wg analizy źródłowej) |
Rejestr europejski | ENISA EUVD-2025-16605 |
Różnica między 9.9 a 8.8 wynika tylko z oceny, czy skutki wychodzą poza program na całą maszynę. Próg „łatamy tylko powyżej 9” byłby tu złudzeniem precyzji: w obu przypadkach chodzi o przejęcie serwera poczty.
Sygnały zagrożenia dla CVE-2025-49113
CVSS 3.1 (MITRE) 9.9/10 ████████████████████ KRYTYCZNA
CVSS 3.1 (NVD) 8.8/10 ██████████████████░░ WYSOKA
EPSS (próba w 30 dni) ~98% ████████████████████ BARDZO WYSOKA
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2025-06-01 Roundcube wydaje wersje 1.5.10 i 1.6.11; ostrzeżenie niemieckie
obejmuje też cPanel/WHM
2025-06-02 Publikacja CVE-2025-49113 w NVD; Debian DSA-5934-1
2025-06-09 Debian LTS DLA-4211-1 dla bullseye
2025-06-10 CISA ocenia wykorzystanie jako aktywne
2026-02-20 CISA dodaje lukę do katalogu KEV (8 miesięcy później)
2026-03-13 Termin naprawy wg CISA dla agencji federalnych
2026-06-17 Ostatnia aktualizacja wpisu w NVD
... ponad 15 miesięcy od wydania poprawki
2026-09-17: TUTAJ JESTEŚMY Oficjalny komunikat producenta: roundcube.net: security updates 1.6.11 and 1.5.10 . Wydania: 1.6.11 i 1.5.10 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-49113 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zapytać administratora lub hostingodawcę, czy poczta w przeglądarce to Roundcube i w jakiej wersji | CTO | DZISIAJ |
2 | Zatwierdzić natychmiastową aktualizację lub czasowe wyłączenie Roundcube | CTO | DZISIAJ |
3 | Zlecić zablokowanie kont byłych pracowników i nieużywanych skrzynek | CTO | DZISIAJ |
4 | Zlecić sprawdzenie serwera pod kątem śladów włamania | CTO | DO JUTRA |
5 | Wprowadzić telefoniczne potwierdzanie zmian numerów rachunków kontrahentów | CFO | DO JUTRA |
6 | Sprawdzić w umowie hostingu, kto odpowiada za aktualizacje oprogramowania poczty | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy korzystamy z Roundcube (sami lub w pakiecie hostingu/cPanel)? | TAK / NIE | 🔴 |
2 | Jaka wersja Roundcube działa dziś na serwerze poczty? | [wersja] | 🔴 |
3 | Kiedy Roundcube był ostatnio aktualizowany? | [data] | 🔴 |
4 | Ile kont pocztowych istnieje i ile należy do osób, które już nie pracują? | [liczba kont] | 🟠 |
5 | Czy serwer sprawdzono pod kątem nieznanych plików i procesów? | TAK / NIE, [data] | 🟠 |
6 | Czy na tym samym serwerze działa strona internetowa firmy? | TAK / NIE | 🟠 |
7 | Czy poczta ma uwierzytelnianie wieloskładnikowe? | TAK / NIE | 🟡 |
CVE-2025-49113 pozwala posiadaczowi jednego zwykłego konta w Roundcube przejąć cały serwer poczty, z korespondencją wszystkich pracowników. CISA potwierdza ataki, poprawka istnieje od czerwca 2025 roku, a termin naprawy minął 13 marca 2026 roku, więc ustalenie wersji i aktualizacja to zadanie na dziś, a porządek z kontami i sprawdzenie serwera na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułPrzepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.