Una RCE da 9.9 su Roundcube Webmail è stata rilevata dai ricercatori di sicurezza

Roundcube Webmail è un client IMAP multilingue basato su browser con un’interfaccia utente simile a quella di un’applicazione. Offre tutte le funzionalità che ci si aspetta da un client di posta elettronica, tra cui supporto MIME, rubrica, gestione delle cartelle, ricerca della posta e controllo ortografico.

Di recente, il Qi’anxin CERT ha analizzati il bug scoperto da Kirill Firsov, di esecuzione di codice backend di Roundcube Webmail (CVE-2025-49113).

La vulnerabilità consiste in un errore logico nella funzione di deserializzazione personalizzata di Roundcube Webmail durante l’elaborazione di file contenenti delimitatori specifici, consentendo ad aggressori autenticati di attivare la deserializzazione creando nomi di file dannosi, ottenendo così l’esecuzione di comandi da remoto e il controllo completo del server. 

I dettagli tecnici e il PoC della vulnerabilità sono stati resi pubblici su Internet. Dato l’ampio impatto della vulnerabilità, si consiglia ai clienti di eseguire un’ispezione e protezione il prima possibile.

Ambito di influenza

Versioni interessate

• Webmail Roundcube<1.5.10
• Webmail Roundcube<1.6.11

Ricorrenza 

Attualmente, il ricercatore di sicurezza del Qi’anxin Threat Intelligence Center ha riprodotto con successo la vulnerabilità di esecuzione del codice in background di Roundcube Webmail (CVE-2025-49113); lo screenshot è il seguente:

Attività interessate

I dati della piattaforma di mappatura degli asset Qi’anxin Eagle Chart mostrano che il numero totale di asset a rischio relativi alla Cina che corrisponde a 57.430 istanze, e il numero totale di IP associati è 7.345. La distribuzione degli asset a rischio globali è la seguente:

Il numero totale di asset a rischio globale associati alla vulnerabilità di esecuzione del codice backend di Roundcube Webmail (CVE-2025-49113) è 1.985.313, mentre il numero totale di IP associati è 224.197. La distribuzione degli asset a rischio globale è la seguente:

Attualmente, la versione ufficiale è disponibile per l’aggiornamento. Si consiglia agli utenti interessati di eseguire l’aggiornamento alla versione più recente. Anche l’Agenzia per la cybersicurezza nazionale ha emesso un avviso in tal senso, riportando la necessita di aggiornare immediatamente le istanze affette dalla clamorosa Remote Code Execution.

Agostino Pellegrino

E’ un libero professionista, insegnante e perito di informatica Forense, Cyber Security ed Ethical Hacking e Network Management. Ha collaborato con importanti istituti di formazione a livello internazionale e ha esercitato teaching e tutorship in tecniche avanzate di Offensive Security per la NATO ottenendo importanti riconoscimenti dal Governo degli Stati Uniti. Il suo motto è “Studio. Sempre”.

Aree di competenza: Cybersecurity architecture, Threat intelligence, Digital forensics, Offensive security, Incident response & SOAR, Malware analysis, Compliance & frameworks