สรุปสั้น

ช่องโหว่ใน Roundcube Webmail รหัส CVE-2026-48842 (คะแนน CVSS 8.1) ที่ออกแพตช์ไปแล้วเมื่อสี่เดือนก่อน กำลังถูกใช้โจมตีจริงในโลกออนไลน์ โดยหน่วยงาน Canadian Centre for Cyber Security เพิ่มคำเตือนลงในคำแนะนำเมื่อวันที่ 21 กันยายน 2026 พร้อมอ้างรายงานจากโอเพนซอร์สและเร่งให้ผู้ดูแลระบบติดตั้งอัปเดตที่มีอยู่ ช่องโหว่นี้เป็น pre-authentication SQL injection ซึ่งหมายความว่าผู้โจมตีไม่จำเป็นต้องมีบัญชีที่ใช้งานได้หรืออาศัยการโต้ตอบจากผู้ใช้ ก็สามารถเข้าถึงโค้ดที่มีช่องโหว่ได้ ทำให้เซิร์ฟเวอร์ webmail ที่เปิดออกสู่อินเทอร์เน็ตตกอยู่ในความเสี่ยงเป็นพิเศษ

จุดบกพร่องอยู่ในปลั๊กอิน virtuser_query โดยกระทบ Roundcube เวอร์ชัน 1.6.x ก่อน 1.6.16 และ 1.7.x ก่อน 1.7.1 บริษัท Roundcube ปล่อยแพตช์ตั้งแต่วันที่ 24 พฤษภาคม 2026 แต่คำเตือนเรื่องการถูกโจมตีจริงเพิ่งมาถึงในเดือนกันยายน ช่วงเวลาที่ห่างกันนี้เพียงพอให้ระบบที่ยังไม่อัปเดตตกเป็นเป้าหมายในช่วงที่ช่องโหว่แปรจากบั๊กที่แพตช์แล้วกลายเป็นเป้าโจมตีที่กำลังดำเนินอยู่ หากใช้สำเร็จ ผู้โจมตีอาจเข้าถึงข้อมูลอ่อนไหวในฐานข้อมูลเบื้องหลัง Roundcube ได้ รวมถึง credential ของกล่องเมลและตัวข้อความอีเมล

รายละเอียดข่าว

เว็บไซต์ Security Affairs รายงานเมื่อวันที่ 28 กันยายน 2569 ว่าช่องโหว่ CVE-2026-48842 ใน Roundcube Webmail ที่ได้รับการแพตช์ไปแล้วสี่เดือน ปัจจุบันถูกใช้โจมตีจริง โดยหน่วยงาน Canadian Centre for Cyber Security เพิ่มคำเตือนนี้ลงในคำแนะนำเมื่อวันที่ 21 กันยายน และระบุว่า “รายงานจากโอเพนซอร์สชี้ว่า CVE-2026-48842 กำลังถูกใช้โจมตีจริง”

ช่องโหว่นี้เป็น pre-authentication SQL injection ที่ผูกกับวิธีที่ปลั๊กอิน virtuser_query ประมวลผลอินพุต ปลั๊กอินตัวนี้ทำหน้าที่ค้นฐานข้อมูลเพื่อจับคู่ email address กับชื่อผู้ใช้กล่องเมล และใช้ฟังก์ชัน preg_replace() ของ PHP กับการ escape ด้วย backslash เพื่อพยายามป้องกัน SQL injection แต่นักวิจัยพบว่าการป้องกันนี้ถูกข้ามได้ด้วยอินพุตที่สร้างขึ้นเป็นพิเศษซึ่งมีชุด backslash ทำให้การ escape ทำงานผิดพลาด และปล่อยให้บางส่วนของอินพุตของผู้โจมตีไปถึงคำสั่ง SQL แทนที่จะถูกมองเป็นข้อมูลธรรมดา

บริษัท SentinelOne เตือนว่า “ผู้โจมตีที่ไม่ได้ยืนยันตัวตนสามารถ inject SQL เข้าสู่ฐานข้อมูลเบื้องหลังของ Roundcube ผ่านปลั๊กอิน virtuser_query ซึ่งอาจเปิดเผย credential ของบัญชีเมลและข้อความที่จัดเก็บไว้” เนื่องจาก Roundcube เป็นแอปพลิเคชันอีเมล ฐานข้อมูลของมันจึงบรรจุข้อมูลที่มีค่ามากเมื่อผู้โจมตีเข้าถึงได้ ทั้งนี้ผู้โจมตีเคยเล็ง Roundcube ในหลายช่องโหว่มาก่อน โดยในเดือนกรกฎาคม บริษัท Proofpoint รายงานความเคลื่อนไหวของกลุ่มที่คาดว่าเชื่อมโยงจีนซึ่งติดตามในชื่อ UNK_MassTraction ที่ใช้ช่องโหว่ Roundcube ที่ทราบอยู่แล้วไปวาง web shell หรือเครื่องมือ post-exploitation ชื่อ VShell

รายละเอียดช่องโหว่

หัวใจของช่องโหว่อยู่ที่กลไก escaping ที่ล้มเหลว ปลั๊กอิน virtuser_query ใช้ preg_replace() พร้อมการ escape ด้วย backslash เพื่อทำให้อินพุตปลอดภัยก่อนนำไปประกอบเป็นคำสั่ง SQL แต่เมื่อป้อนชุด backslash ที่จัดวางอย่างเหมาะสม ตัว escaping จะไม่ทำงานตามที่ตั้งใจ ทำให้อักขระควบคุมของผู้โจมตีหลุดเข้าไปในบริบทของคำสั่ง SQL และเปิดทางให้ inject คำสั่งเพิ่มได้ ผลลัพธ์คือผู้โจมตีที่ไม่ต้องล็อกอินสามารถเข้าถึงฐานข้อมูลเบื้องหลัง Roundcube ได้โดยตรง และขึ้นอยู่กับสิทธิ์และการตั้งค่าของฐานข้อมูล การใช้ช่องโหว่สำเร็จอาจเปิดเผยข้อมูลอ่อนไหวที่เก็บอยู่ รวมถึง credential ของกล่องเมลและข้อความ

ช่องโหว่นี้ยังไม่ใช่กรณีโดดเดี่ยว Roundcube เคยปรากฏใน Known Exploited Vulnerabilities catalog ของ CISA มาแล้วเมื่อต้นปี โดยในเดือนกุมภาพันธ์ CISA ได้ระบุ CVE-2025-49113 และ CVE-2025-68461 เป็นช่องโหว่ Roundcube ที่ถูกใช้โจมตีจริง สะท้อนว่าอินเทอร์เฟซเมลที่เปิดออกสู่สาธารณะเป็นจุดตั้งต้นการบุกรุกที่ผู้โจมตีเล็งซ้ำ ๆ

ผลกระทบ

ผู้ที่เดินเซิร์ฟเวอร์ Roundcube เปิดออกสู่อินเทอร์เน็ตและยังไม่อัปเดตคือกลุ่มที่เสี่ยงที่สุด เพราะช่องโหว่เป็น pre-auth ที่ไม่ต้องมีบัญชีหรืออาศัยการคลิกจากผู้ใช้ ทำให้ผู้โจมตียิงตรงเข้าฐานข้อมูลได้ทันที ความอันตรายอยู่ที่ฐานข้อมูลอีเมลบรรจุ credential และเนื้อความที่เป็นทรัพย์สินตั้งต้นสำหรับการโจมตีต่อยอด ทั้งการสวมสิทธิ์ การอ่านจดหมายภายใน และการขยายผลไปยังบริการอื่นที่ใช้อีเมลเดียวกันในการรีเซ็ตรหัสผ่าน อีกประเด็นที่ต้องระวังคือ หากมีผู้ใช้ช่องโหว่ก่อนที่ระบบจะติดตั้งแพตช์ การอัปเดตซอฟต์แวร์จะไม่บอกว่าระบบถูกเจาะไปแล้วหรือยัง

คำแนะนำ

ขั้นแรกผู้ดูแลควรตรวจว่าเดิน Roundcube เวอร์ชันใด โดยเวอร์ชันเก่ากว่า 1.6.16 หรือ 1.7.1 ให้ถือว่ามีช่องโหว่ พร้อมตรวจว่าปลั๊กอิน virtuser_query เปิดใช้งานอยู่หรือไม่ การติดตั้งแพตช์ที่มีอยู่คือการแก้หลัก และหากไม่จำเป็นต้องใช้ปลั๊กอินดังกล่าว การปิดใช้งานก็ช่วยลดความเสี่ยงได้ แต่ไม่ควรใช้แทนการอัปเดต Roundcube เนื่องจากการอัปเดตจะไม่เผยว่าระบบถูกเจาะไปก่อนหน้าหรือไม่ ระบบที่เปิดออกสู่ภายนอกจึงควรย้อนตรวจ log ของแอปพลิเคชันเพื่อหาร่องรอยการใช้ช่องโหว่ โดยคำขอที่มี backslash, เครื่องหมายคำพูด หรือคำสั่ง SQL ผิดปกติเป็นสิ่งที่ควรสอบสวน อย่างไรก็ตาม ในขณะนี้ยังไม่มี indicator ที่ยืนยันได้ว่าจะระบุการถูกโจมตีได้อย่างน่าเชื่อถือ

แหล่งอ้างอิง