Il vostro webmail aziendale è a rischio: la falla Roundcube sfruttata senza bisogno di password

Se la vostra azienda o associazione ha un indirizzo tipo “webmail.vostrodominio.it” per leggere la posta dal browser, c’è una buona probabilità che dietro ci sia Roundcube: è il software open source che moltissimi hosting provider installano di default per la gestione della posta elettronica via web. Ed è proprio Roundcube, in questi giorni, a essere sotto attacco attivo.

Cosa è successo

La falla si chiama CVE-2026-48842 e riguarda il plugin virtuser_query di Roundcube Webmail, nelle versioni precedenti alla 1.6.16 e alla 1.7.1. Roundcube l’aveva già corretta a fine maggio, ma secondo l’aggiornamento del 21 settembre del centro canadese per la cybersicurezza e le successive conferme riportate da The Hacker News e BleepingComputer, gli attacchi reali sono iniziati solo nelle ultime settimane, a distanza di mesi dalla disponibilità della patch.

Il punteggio di gravità è 8.1 su 10, e il dettaglio tecnico che preoccupa di più è questo: si tratta di un’iniezione SQL non autenticata. In parole semplici, un attaccante non ha bisogno di conoscere nome utente o password: gli basta inviare una richiesta appositamente costruita al server di webmail per manipolare le interrogazioni al database sottostante, senza interazione da parte di nessun utente reale. Il difetto nasce da un modo scorretto di gestire i caratteri di escape all’interno del codice del plugin.

Il risultato pratico è che chi sfrutta la falla può leggere ciò che è custodito nel database di Roundcube: credenziali degli account di posta e, potenzialmente, i messaggi stessi. Secondo Shadowserver Foundation, ci sono oltre 523.000 installazioni di Roundcube raggiungibili da Internet nel mondo, molte delle quali non ancora aggiornate.

Perché riguarda proprio le PMI

In Security Smart lo vediamo spesso: piccole e medie imprese, studi professionali, scuole e associazioni non gestiscono la propria posta elettronica internamente, ma si affidano a un hosting provider che fornisce, tra i vari servizi, anche un’interfaccia webmail. Chi amministra questi sistemi raramente sa dire con certezza quale software di webmail sia installato, né tantomeno la versione in uso: è un dettaglio tecnico che resta nelle mani del fornitore di hosting, e viene aggiornato solo se qualcuno se ne occupa attivamente.

È esattamente lo scenario in cui una falla come questa può restare aperta per mesi, come è successo qui: patch disponibile da maggio, sfruttamento attivo confermato solo ora. Nel frattempo, chiunque avesse un’installazione esposta e non aggiornata è stato, di fatto, un bersaglio raggiungibile da chiunque sul web, senza bisogno di credenziali rubate o di un clic su un link di phishing.

Il lato GDPR

Le caselle di posta elettronica aziendali contengono quasi sempre dati personali: comunicazioni con clienti, dipendenti, fornitori, a volte anche categorie particolari di dati (informazioni su salute, contratti di lavoro, pratiche legali). Se un attaccante ha avuto accesso non autorizzato al database di un sistema di webmail, questo può configurare una violazione di dati personali ai sensi del GDPR, con l’obbligo di valutare se notificarla al Garante entro 72 ore e, nei casi più gravi, di informare gli interessati coinvolti. La circostanza aggravante, in questo caso, è che l’attacco può essere avvenuto senza lasciare tracce evidenti come un accesso con credenziali anomale: va cercato a un livello più tecnico, nei log del server.

Cosa fare, in pratica

• Chiedete subito al vostro hosting provider o al vostro tecnico IT se usate Roundcube e quale versione. Se l’interfaccia webmail del vostro dominio assomiglia a quella storica di Roundcube (spesso richiamabile da “webmail.vostrodominio.it”), è la prima domanda da fare oggi stesso.
• Pretendete l’aggiornamento immediato alla versione 1.6.16 o 1.7.1, le uniche corrette. Se il provider non aggiorna in tempi rapidi, è legittimo chiedere per iscritto quando lo farà.
• Fate cambiare le password delle caselle di posta dopo l’aggiornamento, per precauzione: se l’installazione era esposta e non aggiornata, non potete escludere che le credenziali siano già state compromesse.
• Fatevi controllare i log di accesso del server webmail alla ricerca di richieste anomale nelle ultime settimane, soprattutto se l’aggiornamento arriva in ritardo rispetto a oggi.
• Valutate l’attivazione di un secondo fattore di autenticazione sull’accesso webmail, se il vostro provider lo consente: riduce il danno anche quando una password viene comunque sottratta.

Matteo Gianniello — Consulente privacy e cyber security