브라우저 기반 이메일 클라이언트인 Roundcube Webmail에서 발견된 심각한 SQL 인젝션(데이터베이스에 악성 명령을 몰래 끼워 넣는 공격) 취약점(CVE-2026-48842)이 실제 공격에 악용되고 있다고 캐나다 사이버보안센터가 경고했습니다. 이 취약점은 5월에 패치됐지만, 4개월이 지난 지금 공격자들이 본격적으로 악용하기 시작했습니다. 공격자는 로그인 없이도 데이터베이스 명령을 실행해 데이터를 훔칠 수 있으며, 인터넷에 노출된 Roundcube 서버가 52만 3천 개를 넘어 잠재적 피해 규모가 매우 큽니다. Roundcube는 과거에도 러시아 국가 지원 해킹 그룹인 APT28, Winter Vivern 등의 단골 표적이 됐을 만큼 위협이 현실적입니다. 관리자는 즉시 버전 1.6.16 또는 1.7.1로 업데이트하고, 당장 업데이트가 어려운 경우 virtuser_query 플러그인을 비활성화해야 합니다.
Roundcube Webmail의 사전 인증 SQL 인젝션 취약점(CVE-2026-48842)이 5월 패치 4개월 후 실제 공격에 악용되기 시작했으며, 캐나다 사이버보안센터가 공식 경고를 발령했다.
공격자는 인증 없이 데이터베이스 명령을 실행하고 사용자 데이터를 탈취할 수 있다. 인터넷에 노출된 Roundcube 인스턴스가 52만 3천 개 이상으로 피해 잠재 범위가 광범위하다.
Roundcube 내장 플러그인 virtuser_query의 사전 인증 SQL 인젝션 결함으로, 데이터베이스 기반 사용자 조회 처리 과정에서 발생한다.
버전 1.6.16 또는 1.7.1로 즉시 업데이트할 것을 권고한다. 즉각 업그레이드가 불가능한 경우 virtuser_query 플러그인을 비활성화하거나 제거해 공격 경로를 차단해야 한다.
Roundcube는 APT28, Winter Vivern 등 국가 지원 해킹 그룹이 반복적으로 악용해온 표적이므로, 이번 취약점도 유사한 수준의 위협으로 간주하고 즉각 패치를 적용해야 한다. CISA는 2022년 5월 이후 Roundcube 취약점 11건을 실제 악용으로 분류한 바 있다.
본문
캐나다 사이버보안센터(Canadian Centre for Cyber Security)에 따르면, 5월에 패치된 Roundcube Webmail의 고위험 취약점이 현재 실제 공격에서 적극적으로 악용되고 있습니다.
Roundcube Webmail은 브라우저 기반 IMAP 이메일 클라이언트로, 수백만 명의 사용자를 보유한 수천 개 서비스의 기본 메일 인터페이스로 사용되고 있으며, 널리 쓰이는 웹 호스팅 제어판인 cPanel에도 기본 설치되어 있습니다.
지난 5월, Roundcube 보안팀은 해당 결함(CVE-2026-48842로 추적)을 패치하면서, 이를 데이터베이스 기반 사용자 조회 및 이메일 주소 매핑을 처리하는 내장 플러그인 virtuser_query의 사전 인증 SQL 인젝션으로 설명했습니다.
공격에 성공하면 권한이 없는 위협 행위자도 인증을 우회하고, 악성 데이터베이스 명령을 삽입·실행하며, 사용자 조작이 필요 없는 고복잡도 공격을 통해 Roundcube 데이터베이스에서 데이터를 탈취할 수 있습니다.
Roundcube 측은 또한 이 취약점을 해결한 버전 1.6.16 및 1.7.1로 서버를 업데이트할 것을 "강력히" 권고했습니다.
위협 모니터링 비영리단체 Shadowserver는 현재 인터넷에 노출된 Roundcube 인스턴스를 523,000개 이상 추적하고 있습니다. 다만, 이 중 몇 개가 허니팟이거나 이미 패치된 상태인지는 알 수 없습니다.
인터넷에 노출된 Roundcube 인스턴스 (Shadowserver)
실제 악용 사례로 지정
CVE-2026-48842가 패치된 지 4개월 후인 월요일, 캐나다 사이버보안센터는 5월에 발령한 권고문을 업데이트하여 공격자들이 이를 실제로 악용하고 있다고 경고했습니다.
사이버센터는 "오픈소스 보고에 따르면 CVE-2026-48842가 실제 환경에서 악용되고 있다"고 경고하며 관리자들에게 웹메일 서버 보안 조치를 촉구했습니다.
진행 중인 공격을 차단하는 보안 업데이트가 제공되고 있지만, 즉시 업그레이드가 어려운 관리자는 virtuser_query 플러그인을 비활성화하거나 제거해 공격 경로를 제거해야 합니다.
Roundcube의 보안 취약점은 사이버 범죄 및 국가 지원 해킹 그룹 모두의 인기 있는 표적이 되어 왔습니다. 러시아 위협 그룹 Winter Vivern(TA473)은 크로스사이트 스크립팅(XSS) 제로데이(CVE-2023-5631)를 악용해 유럽 정부 기관을 공격했으며, 러시아 APT28 사이버 스파이 그룹은 여러 취약점(CVE-2020-35730, CVE-2020-12641, CVE-2021-44026)을 남용해 우크라이나 정부 이메일 시스템을 침해했습니다.
최근인 2월에는 미국 사이버보안·인프라보안국(CISA)이 Roundcube의 다른 두 취약점(CVE-2025-49113 및 CVE-2025-68461)을 실제 악용 사례로 지정하고, 정부기관에 3주 이내에 네트워크 보안 조치를 완료하도록 명령했습니다.
2022년 5월 이후 CISA는 Roundcube Webmail 취약점 11건을 실제 악용 사례로 지정했습니다.
AI 기반 공격에 대비한 보안 청사진 수립
Mikko Hyppönen과 NFL, CHANEL, Atlassian의 보안 리더들과 함께하는 2시간짜리 디지털 서밋에 참여하세요. AI 속도의 공격이 무엇을 바꾸는지, 방어자가 멈춰야 할 것은 무엇인지, 그리고 머신 속도로 검증·결정·수정·재검증하는 방법을 다룹니다.
좌석을 예약하세요
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
