Según investigadores de seguridad, los actores de amenazas están apuntando a una vulnerabilidad crítica y de alta gravedad en Roundcube Webmail, que se usa ampliamente en el gobierno y la educación superior.
La Agencia de Seguridad de Infraestructura y Ciberseguridad agregó el viernes las vulnerabilidades, rastreadas como CVE-2025-49113 y CVE-2025-68461, a su catálogo de vulnerabilidades explotadas conocidas.
Según los investigadores, la falla más grave, CVE-2025-49113, está relacionada con una vulnerabilidad de deserialización en Roundcube Webmail que ha permanecido oculta durante unos 10 años. La falla tuvo una puntuación de gravedad de 9,9.
«Roundcube no es nuevo en este juego», dijo a Cybersecurity Dive Ryan Dewhurst, jefe de inteligencia proactiva de amenazas en watchTowr. «Ha sido objeto repetidamente de campañas de explotación en el mundo real por una sencilla razón. Se utiliza ampliamente y los servicios de correo web son una mina de oro».
La falla se reveló en junio de 2025 y Shadowserver en ese momento informó que alrededor de 84.000 instancias eran vulnerables. Los investigadores también observaron que las fallas de Roundcube eran con frecuencia el objetivo de ataques de piratas informáticos vinculados al estado.
La segunda vulnerabilidad, CVE-2025-68461, está relacionada con una vulnerabilidad de secuencias de comandos entre sitios. Fue parcheado en diciembre.
cubo redondo, en un aviso de diciembreinstó a los usuarios a actualizar a versiones fijas.
Fuente