Roundcube 사전 인증 SQL 인젝션 취약점, 실제 공격에 악용 중

Ravie Lakshmanan 2026년 9월 25일 · 취약점 / 이메일 보안

캐나다 사이버보안센터(Canadian Centre for Cyber Security)가 현재는 패치된 Roundcube Webmail 취약점이 실제 환경에서 적극적으로 악용되고 있다고 경고했다.

문제의 취약점은 CVE-2026-48842(CVSS 점수: 8.1)로, Roundcube Webmail 버전 1.6.x(1.6.16 미만) 및 1.7.x(1.7.1 미만)의 virtuser_query 플러그인에 존재하는 사전 인증(pre-authentication) SQL 인젝션이다.

이 문제는 preg_replace() 함수의 백슬래시 이스케이프 우회로 인해 발생하며, 공격자가 인증 없이 임의의 SQL 구문을 삽입할 수 있다.

SentinelOne은 "인증되지 않은 공격자가 virtuser_query 플러그인을 통해 Roundcube의 데이터베이스 백엔드에 SQL을 주입할 수 있으며, 이를 통해 메일 계정 자격증명과 저장된 메시지가 노출될 가능성이 있다"고 밝혔다.

이 취약점에 대한 패치는 Roundcube가 2026년 5월 1.6.16 및 1.7.1 버전의 일부로 배포했다.

이번 주 공개한 업데이트에서 캐나다 사이버보안센터는 공개 출처 보고를 인용해 해당 보안 취약점이 실제 환경에서 적극적으로 악용되고 있다고 밝혔다. 악용 활동에 대한 추가적인 세부 정보는 공개되지 않았다.

Shadowserver Foundation의 데이터에 따르면, 인터넷에 노출된 Roundcube 인스턴스가 523,000개를 넘으며, 2026년 9월 23일 기준으로 그 중 10개가 취약한 호스트로 표시됐다.

Roundcube의 취약점은 민감한 이메일 통신을 수집하려는 위협 행위자들의 매력적인 표적이 되어 왔다. 2026년 7월, Proofpoint는 중국 연계로 의심되는 위협 행위자 UNK_MassTraction이 Roundcube의 알려진 보안 취약점을 악용해 웹 쉘(web shell) 또는 VShell이라는 공격 후(post-exploitation) 도구를 배포한 사실을 확인했다고 밝혔다.

앞서 2026년 2월에는 동일 제품의 다른 두 취약점(CVE-2025-49113, CVE-2025-68461)이 미국 사이버보안 및 인프라 보안국(CISA)에 의해 적극적으로 악용 중인 것으로 분류된 바 있다.