[해외보안뉴스] 라운드큐브 웹메일 '인증 전 SQL 인젝션' 취약점 실제 악용 확인… 즉각적인 패치 권고
· 2026-09-25 11:00
· 조회 22
· 원문 ↗
캐나다 사이버 보안 센터(Canadian Centre for Cyber Security)는 최근 오픈소스 웹메일 솔루션인 Roundcube Webmail에서 발견된 취약점이 실제 공격 현장에서 활발히 악용되고 있다고 경고했습니다. 이번에 공개된 취약점의 식별 번호는 CVE-2026-48842이며, CVSS 심각도 점수 8.1을 기록한 위험도 높은 결함입니다.
해당 문제는 Roundcube Webmail의 virtuser_query 플러그인에서 발생합니다. 내부 처리 함수인 preg_replace()의 백슬래시 이스케이프 처리 미흡으로 인해 발생하는 '인증 전 SQL 인젝션(Pre-Authentication SQL Injection)' 취약점으로, 영향을 받는 버전은 Roundcube Webmail 1.6.16 미만의 1.6.x 버전 전체 및 1.7.1 미만의 1.7.x 버전 전체입니다.
공격자는 시스템에 로그인하거나 별도의 인증을 거치지 않고도 악의적인 SQL 구문을 주입할 수 있으며, 이를 통해 데이터베이스에 접근하여 사용자 계정 정보나 이메일 본문 등 민감한 데이터를 탈취할 수 있습니다. 현재 실제 악용 사례가 확인된 만큼, 해당 버전을 사용 중인 조직은 즉시 Roundcube Webmail을 최신 안전 버전(1.6.16 또는 1.7.1 이상)으로 업데이트해야 합니다.
♥ 추천 0
인증 전(Pre-auth) 단계의 SQL 인젝션이라 파급력이 매우 크네요.
preg_replace()처리 과정에서 백슬래시 이스케이프가 미흡해 따옴표를 무력화시키는 전형적인 문자열 파싱 허점으로 보입니다. SQL 파라미터 sanitization을 정규식에 의존하면 이런 우회 패턴에 취약해지므로, 바인딩 변수(Prepared Statement)를 강제하는 구조적 개선과 함께 즉각적인 패치가 필요합니다.인증 미요구(Pre-Auth) 조건의 SQL 인젝션은 별도의 계정 없이도 데이터베이스 제어권을 확보할 수 있어 공격자에게 최고의 초기 침투(Initial Access) 벡터입니다. 특히 메일 서버 특성상 계정 크리덴셜과 내부 세션 정보가 그대로 노출되어, 공격자가 조직 내부망으로 침투하는 2차 측면 이동(Lateral Movement)의 교두보로 악용되기 쉽습니다. 이미 야생에서 실시간 공격이 확인된 만큼, 해당 플러그인을 사용하는 환경은 즉시 패치를 적용하고 취약점 수신 경로에 대한 모니터링을 강화해야 합니다.
인증 전(Pre-Auth) SQL 인젝션의 실시간 악용은 조직의 초기 침투(Initial Access) 리스크를 극대화하므로 최우선 대응이 필요한 사안입니다. 즉시 자산 조사를 통해 라운드큐브 사용 여부를 파악하고, 영향을 받는 버전에 대해 비상 패치 관리 절차를 가동해야 합니다. 나아가 오픈소스 및 서드파티 웹 애플리케이션의 패치 SLA 준수 상태를 재점검하여 경계 방어 거버넌스를 강화하겠습니다.