Американската агенция по киберсигурност CISA добави две уязвимости в Roundcube Webmail към каталога си с активно експлоатирани слабости (Known Exploited Vulnerabilities – KEV) и нареди на федералните агенции да ги отстранят в срок от три седмици.

Roundcube е уеб-базиран пощенски клиент, който от 2008 г. е стандартният интерфейс за електронна поща в широко използвания контролен панел cPanel.

Кои са уязвимостите

 CVE-2025-49113 – критична RCE уязвимост

• Тип: Remote Code Execution (RCE)

• Статус: активно експлоатирана

• Пач: юни 2025 г.

Само дни след публикуването на корекцията, организацията Shadowserver Foundation предупреди, че над 84 000 инсталации на Roundcube са изложени на риск.

CVE-2025-68461 – XSS чрез SVG animate tag

• Тип: Cross-Site Scripting (XSS)

• Статус: активно експлоатирана

• Пач: декември 2025 г. (версии 1.6.12 и 1.5.12)

• Вектор: злоупотреба с animate таг в SVG документи

• Не изисква автентикация

Roundcube предупреди, че уязвимостта може да бъде експлоатирана от отдалечени атакуващи чрез атаки с ниска сложност.

Колко системи са изложени?

Според публични данни от Shodan, в интернет са достъпни над 46 000 Roundcube инстанции. Не е ясно колко от тях все още са уязвими към конкретните CVE.

Федерални срокове и регулаторен натиск

CISA е задължила агенциите от Federal Civilian Executive Branch (FCEB) да приложат корекциите до 13 март, съгласно задължителната оперативна директива BOD 22-01 (издадена през 2021 г.).

Агенцията подчертава, че Roundcube уязвимостите са „често използвани вектори за атаки“, които представляват значителен риск за федералната инфраструктура.

История на злоупотреби

Roundcube не за първи път попада във фокуса на държавно спонсорирани групи. През 2023 г. уязвимостта CVE-2023-5631 беше използвана в zero-day атаки от:

• руската група Winter Vivern (TA473)

• APT28 срещу украински правителствени пощенски системи

Препоръки за администратори

• Незабавно обновяване до версии 1.6.12 или 1.5.12

• Проверка за индикатори за компрометиране

• Ограничаване на достъпа до уебмейл интерфейси

• Мониторинг за подозрителни SVG или XSS опити