84.000 installazioni vulnerabili di Roundcube Webmail pronte per essere attaccate

Redazione RHC : 16 Giugno 2025 07:12

I ricercatori stimano che oltre 84.000 installazioni di Roundcube Webmail siano vulnerabili al problema critico CVE-2025-49113, per il quale è già disponibile un exploit pubblico. Questa vulnerabilità è presente nel codice di Roundcube Webmail da oltre un decennio e riguarda le versioni dalla 1.1.0 alla 1.6.10. Una correzione per questo bug è stata rilasciata il 1° giugno 2025.

Il CVE-2025-49113 è una vulnerabilità di esecuzione di codice remoto (RCE) che ha ottenuto un punteggio di 9,9 su 10 sulla scala CVSS. Il bug è stato scoperto dal responsabile di FearsOff, Kirill Firsov, che ha deciso di divulgare i dettagli tecnici del problema all’inizio di giugno, poiché l’exploit era già apparso online.

La vulnerabilità è dovuta alla mancanza di un’adeguata sanificazione del parametro $_GET[‘_from’], che porta alla deserializzazione dell’oggetto PHP. Nel suo rapporto tecnico, Firsov ha spiegato che se il nome di una variabile di sessione inizia con un punto esclamativo, la sessione viene interrotta e si apre la possibilità di un’iniezione di oggetti.

Christmas Sale -40%

𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀 Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮.
Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765.

Supporta Red Hot Cyber attraverso:

Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Come abbiamo scritto in precedenza, poco dopo il rilascio della patch, gli hacker l’hanno usata per creare un exploit, che hanno iniziato a vendere su forum underground. Sebbene l’autenticazione sia richiesta per sfruttare CVE-2025-49113, gli aggressori hanno scritto che le credenziali possono essere estratte dai log o sottoposte a forza bruta. A sua volta, Firsov ha osservato che è possibile ottenere una combinazione di credenziali anche utilizzando CSRF.

Roundcube è una delle soluzioni di webmail più popolari, offerta da noti provider di hosting (GoDaddy, Hostinger, Dreamhost e OVH), è inclusa nei pannelli di controllo (cPanel, Plesk) e utilizzata da numerose organizzazioni nei settori governativo, accademico e tecnologico.

Come ha recentemente segnalato la Shadowserver Foundation, sono state trovate online oltre 1.200.000 installazioni di Roundcube Webmail e, all’8 giugno 2025, 84.925 di queste sono ancora vulnerabili a CVE-2025-49113.

La maggior parte delle installazioni vulnerabili si trova negli Stati Uniti (19.500), in India (15.500), in Germania (13.600), in Francia (3.600), in Canada (3.500) e nel Regno Unito (2.400).

Gli esperti raccomandano agli amministratori di installare gli aggiornamenti alle versioni 1.6.11 e 1.5.10 il prima possibile, poiché la vulnerabilità è già stata risolta.

Pochi giorni fa, il CERT Polonia ha segnalato che gli aggressori del gruppo UNC1151 stavano già sfruttando la vulnerabilità in una campagna di phishing volta a rubare le credenziali.

Se per qualche motivo non è possibile effettuare l’aggiornamento, consigliamo di limitare l’accesso alla webmail, disabilitare il download dei file, aggiungere la protezione CSRF, bloccare le funzioni PHP potenzialmente pericolose e monitorare eventuali segnali di sfruttamento.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli

84.000 installazioni vulnerabili di Roundcube Webmail pronte per essere attaccate

Articoli in evidenza