Roundcube 1.6.20 و1.7.5: 20 إصلاحاً، وحقن SQL أقدم يُستغل الآن

في 19 أكتوبر 2026 أصدر مشروع Roundcube الإصدارين 1.6.20 و1.7.5، وفيهما إصلاحات لـ20 ثغرة مُبلَّغ عنها، وكتب: "We strongly recommend to update all productive installations of Roundcube 1.6.x and 1.7.x". وقبل ذلك بأسبوعين، في 3 أكتوبر، حذّرت وكالة الأمن السيبراني في سنغافورة (CSA) من أن ثغرة أقدم في Roundcube، وهي حقن SQL يعمل قبل تسجيل الدخول، "يُفاد بأنها تُستغل بشكل نشط".

هاتان مشكلتان منفصلتان، ولكل منهما إصدارات إصلاح مختلفة. إذا كان بريدك عبر الويب يعمل على Roundcube، فإليك كيف تعرف أيهما تخصّك وما الذي عليك فعله هذا الأسبوع.

الثغرة المستغلة: CVE-2026-48842

بحسب سجل NVD، تحتوي إصدارات Roundcube 1.6.x قبل 1.6.16 و1.7.x قبل 1.7.1 على حقن SQL قبل المصادقة في الإضافة virtuser_query، سببه تهريب بشرطة مائلة عكسية يمرّ من preg_replace(). صدر الإصلاح في مايو، ضمن إصداري 1.6.16 و1.7.1 بتاريخ 24 مايو 2026. وتمنحها CSA درجة 8.1 وفق CVSS v3.1، وتقول إنها تتيح لـ"مهاجم غير مصادق عليه" حقن SQL في قاعدة البيانات الخلفية.

تفصيلان يحددان ما إذا كنت معرّضاً للخطر. الأول أن الخلل في إضافة. تربط virtuser_query أسماء الدخول بمستخدمي صناديق البريد عبر استعلام في قاعدة البيانات، ومثل أي إضافة أخرى في Roundcube لا تعمل إلا إذا كانت مدرجة في إعداداتك. والثاني أن عمر الإصلاح خمسة أشهر، فالخادم الذي حصل على أي تحديث لـRoundcube منذ أواخر مايو قد تجاوزها بالفعل. الخوادم المعرّضة هي التي لم يلمسها أحد منذ الربيع، وهذا بالضبط نوع الأجهزة الذي يبحث عنه المهاجمون بالمسح.

الدفعة الجديدة: 1.6.20 و1.7.5

يصلح إصدار أكتوبر 20 مشكلة. ولم يذكر المشروع أن أياً منها يُستغل. ونشرت NVD عدة سجلات CVE لها في 22 أكتوبر، منها:

• CVE-2026-114727 بدرجة 8.3: يُمرَّر محتوى مرفقات قد يكون غير آمن إلى ImageMagick عند تغيير حجم الصور.
• CVE-2026-114730 بدرجة 7.2: تجاوز لمرشح server-side request forgery عبر نطاق NAT64 64:ff9b::/96.
• CVE-2026-114732 بدرجة 6.8: في التثبيتات متعددة المضيفين، لم يكن تسجيل الدخول باسم مستعار مرتبطاً بمضيف IMAP الخاص به.

بقية القائمة في إعلان الإصدار تستحق القراءة إذا كنت تشغّل Roundcube مع إضافات أو برامج تشغيل إضافية: حقن أوامر IMAP عبر CRLF في المعاملين _uid و_flag، وعدة مسارات لحقن الترويسات، وتجاوز لحماية CSRF في إجراء وضع علامة بريد مزعج، وثغرة XSS في معالجة أخطاء برنامج تشغيل كلمات المرور، وخلل سمح لبرنامج تشغيل كلمات المرور الخاص بـModoboa بتغيير كلمة مرور حساب آخر. يحتاج عدد منها إلى مستخدم مسجّل الدخول، لذلك يتوقف حجم الخطر على عدد الحسابات التي يمكنها تسجيل الدخول.

الخطوة 1: اعرف إصدارك الفعلي

الإصدار موجود في program/include/iniset.php باسم RCMAIL_VERSION، ويظهر كذلك تحت About في قائمة الإعدادات إن لم تكن قد أخفيته. قارن بما يلي:

• الفرع 1.6: تحتاج إلى 1.6.20. وأي إصدار من 1.6.0 إلى 1.6.15 مكشوف أيضاً أمام الثغرة المستغلة CVE-2026-48842.
• الفرع 1.7: تحتاج إلى 1.7.5. والإصدار 1.7.0 مكشوف أيضاً أمام CVE-2026-48842.
• 1.5 أو أقدم: هذه الإصدارات لا تشملها. خطّط للانتقال إلى 1.6 LTS.

إذا جاء Roundcube مدمجاً في منتج آخر، مثل لوحة تحكم أو حزمة خادم بريد أو صورة حاوية، فرقم إصدار الحزمة نفسها لا يخبرك بشيء. تحقق من إصدار Roundcube بداخلها، وتحقق مما إذا كان المورّد قد أصدر 1.6.20 أو 1.7.5.

الخطوة 2: حدّث، ثم راجع قائمة الإضافات

1. خذ نسخة احتياطية من قاعدة بيانات Roundcube ومن المجلد config/.
2. ثبّت 1.6.20 أو 1.7.5 من الإصدارات الرسمية على GitHub أو من حزمة توزيعتك، وشغّل سكربت التحديث حتى يتطابق مخطط قاعدة البيانات.
3. افتح config/config.inc.php وانظر إلى المصفوفة plugins. احذف كل ما لا تستخدمه. إذا كانت virtuser_query موجودة وكان إصدارك أقل من 1.6.16 أو 1.7.1، فاعتبر الخادم مخترقاً على الأرجح وانتقل إلى الخطوة 3.
4. تأكد من أن PHP نفسه محدّث. Roundcube تطبيق PHP، لذا فإن ثغرات PHP2Shell التي كُشف عنها في 21 أكتوبر تنطبق عليه أيضاً، وتحديث Roundcube لا يحدّث PHP.

الخطوة 3: إذا شغّلت إصداراً مكشوفاً مع virtuser_query

يستطيع حقن SQL ضد قاعدة بيانات Roundcube قراءة ما تحتويه تلك القاعدة: تفضيلات المستخدمين ودفاتر العناوين والهويات، وبحسب الإعدادات، جدول الجلسات. فحوصات عملية:

• ابحث في سجلات خادم الويب عن محارف غير معتادة، وخاصة الشرطات المائلة العكسية وكلمات SQL المفتاحية، في طلبات تسجيل الدخول السابقة للترقيع.
• راجع مستخدم قاعدة البيانات الذي يتصل به Roundcube. إذا كانت له صلاحيات على قواعد بيانات أخرى في الخادم نفسه، فافترض أنها كانت قابلة للوصول أيضاً، وقلّص صلاحياته إلى قاعدة بيانات Roundcube وحدها.
• أنهِ جميع الجلسات بمسح جدول الجلسات بعد التحديث، وغيّر des_key في الإعدادات.
• إذا كان خادم قاعدة البيانات نفسه يحتوي جداول مستخدمي خادم البريد، فغيّر بيانات الاعتماد تلك أيضاً.

النمط المشترك بين الحالتين

يقع البريد عبر الويب على الإنترنت العام ويتخاطب مع IMAP وSMTP وقاعدة بيانات ومكتبة صور وPHP، فأي خلل في أي منها هو خلل في خدمة البريد. إصلاحات Roundcube هذا الشهر هي التذكير الثالث خلال أسابيع قليلة، بعد حقن أوامر SNMP في Zimbra وPHP2Shell، بأن الإضافات الاختيارية وبيئة التشغيل تحتها مهمة بقدر خادم البريد نفسه. فعّل الإضافات التي تستخدمها فقط، وأبقِ صلاحيات حساب قاعدة البيانات ضيقة، وتابع إصدار بيئة التشغيل وليس إصدار التطبيق وحده. وإذا كنت تعيد النظر في المنظومة كلها، فإن مقارنتنا بين Mailcow وStalwart وMailu تشرح كيف يتعامل كل منها مع البريد عبر الويب.

الأسئلة الشائعة

المصادر: Roundcube، 19 أكتوبر 2026، Roundcube، 24 مايو 2026، تنبيه CSA سنغافورة AL-2026-131 وسجلات NVD المرتبطة أعلاه.