Roundcube, ứng dụng webmail mã nguồn mở có mặt trên hầu hết các máy chủ cPanel, Plesk, DirectAdmin và rất nhiều VPS tự cài mail, vừa ra đợt vá lớn nhất trong năm. Ngày 19/10/2026, dự án phát hành Roundcube 1.6.20 (nhánh LTS) và 1.7.5 với 20 bản sửa lỗi bảo mật. Dự án "khuyến nghị mạnh mẽ" cập nhật mọi bản cài đặt đang chạy thật.

Tóm tắt nhanh

  • Ai bị ảnh hưởng: mọi máy chủ chạy Roundcube 1.6.x trước 1.6.20 hoặc 1.7.x trước 1.7.5, kể cả bản đi kèm control panel.
  • Mức độ: Roundcube chưa công bố điểm CVSS. Danh sách lỗi gồm chèn lệnh IMAP, chèn header thư, XSS, SSRF, CSRF, chèn đối tượng (object injection) trong session và lỗi đổi mật khẩu tài khoản khác.
  • Đã bị khai thác chưa: chưa có xác nhận khai thác thực tế hay mã khai thác công khai cho các lỗi này.

20 lỗi được sửa gồm những gì

Theo thông báo chính thức và changelog trên GitHub, có thể chia các bản sửa thành mấy nhóm:

  • Chèn lệnh IMAP (2 lỗi): ký tự xuống dòng (CRLF) trong tham số _uid và _flag có thể bị dùng để chèn thêm lệnh IMAP, buộc máy chủ mail thực hiện hành động ngoài ý muốn.
  • Chèn header thư (5 lỗi): trong thao tác Bounce, các trường References, In-Reply-To, Message-ID, From, tiêu đề thư chuyển tiếp và ảnh nhúng dạng data URI.
  • Vượt chặn nội dung từ xa và CSS (4 lỗi): liên quan SVG SMIL, ký tự thoát CSS trong thuộc tính FuncIRI, at-rule và giới hạn kích thước của CSS proxy. Kẻ gửi thư có thể dùng các lỗi này để theo dõi người đọc hoặc phá giao diện.
  • Xử lý ảnh (2 lỗi): nội dung tệp đính kèm được chuyển cho ImageMagick không an toàn, và giới hạn tài nguyên bị vượt qua khi chuyển sang GD.
  • Kiểm soát truy cập và xác thực: vượt bộ lọc SSRF qua địa chỉ NAT64 (64:ff9b::/96), đăng nhập bằng alias không gắn đúng máy chủ IMAP, tên action cũ vượt qua disabled_actions, vượt CSRF ở thao tác đánh dấu thư rác, và driver mật khẩu Modoboa có thể đổi mật khẩu của tài khoản khác.
  • Khác: chèn đối tượng khi giải tuần tự hóa session, XSS trong thông báo lỗi của driver mật khẩu, và tên đăng nhập không an toàn ở đường nhập dữ liệu từ SquirrelMail.

Về mã CVE, thông báo của Roundcube không liệt kê mã nào, và SecurityOnline cho biết dự án chưa gán CVE. VulDB đã có một mục CVE-2026-114718 cho lỗi XSS trong Password plugin, ảnh hưởng tới 1.6.19 và 1.7.4, được sửa ở 1.6.20 và 1.7.5. Chúng tôi chưa đối chiếu được mục này với NVD, nên bạn hãy coi đây là thông tin cần theo dõi thêm.

Phiên bản bị ảnh hưởng và phiên bản vá

NhánhBị ảnh hưởngPhiên bản váGhi chú
1.7.x1.7.0 đến 1.7.41.7.5Nhánh chính
1.6.x (LTS)1.6.0 đến 1.6.191.6.20Nhánh hỗ trợ dài hạn
1.5.x trở về trướcKhông còn được hỗ trợNâng cấp lên 1.6.20 hoặc 1.7.5Có thể còn những lỗi cũ chưa vá

Kiểm tra phiên bản và cập nhật

Với Roundcube tự cài từ roundcube.net hoặc GitHub, phiên bản nằm trong tệp program/include/iniset.php:

# Thay /var/www/roundcube bằng thư mục cài đặt thực tế
grep -m1 "RCMAIL_VERSION" /var/www/roundcube/program/include/iniset.php

# Sao lưu mã nguồn, cấu hình và cơ sở dữ liệu
sudo tar czf /root/roundcube-backup-$(date +%F).tgz /var/www/roundcube
mysqldump -u root -p roundcube > /root/roundcube-db-$(date +%F).sql

# Giải nén bản mới vào thư mục tạm rồi chạy script nâng cấp có sẵn
cd /tmp/roundcubemail-1.6.20
sudo ./bin/installto.sh /var/www/roundcube

Script installto.sh sẽ hỏi xác nhận, chép tệp mới và cập nhật cơ sở dữ liệu. Nếu bạn cài từ kho của bản phân phối, hãy cập nhật qua trình quản lý gói và theo dõi thông báo bảo mật của Debian, Ubuntu hoặc EPEL:

apt-cache policy roundcube-core
sudo apt update && sudo apt install --only-upgrade roundcube-core

Trên cPanel, Roundcube được cập nhật cùng cPanel & WHM:

/usr/local/cpanel/cpanel -V
sudo /usr/local/cpanel/scripts/upcp

Với Plesk và DirectAdmin, bạn dùng công cụ cập nhật của panel, ví dụ plesk installer hoặc CustomBuild của DirectAdmin, rồi kiểm tra số phiên bản Roundcube trong phần thông tin "About" của webmail.

Việc cần làm ngay

Với chủ VPS tự quản lý mail

  1. Kiểm tra phiên bản Roundcube và nâng cấp lên 1.6.20 hoặc 1.7.5 sau khi sao lưu.
  2. Tắt những plugin không dùng, đặc biệt các driver mật khẩu như Modoboa nếu bạn không dùng tới.
  3. Nếu chưa nâng cấp được, tạm giới hạn truy cập webmail theo IP, hoặc đặt sau xác thực bổ sung của web server.
  4. Xem log của Roundcube và Dovecot để tìm lệnh IMAP lạ, lượt đổi mật khẩu bất thường hoặc đăng nhập từ IP lạ.
  5. Nếu đang chạy 1.5.x hoặc cũ hơn, hãy lên kế hoạch nâng cấp sớm. Các bản này không còn được vá.

Với khách hàng shared hosting

  • Roundcube do nhà cung cấp quản lý. Bạn có thể xem phiên bản trong mục "About" của webmail và hỏi nhà cung cấp lịch cập nhật.
  • Cẩn thận với thư lạ có ảnh hoặc liên kết, và không nhập mật khẩu vào trang đăng nhập webmail mở ra từ liên kết trong email.
  • Đặt mật khẩu email mạnh và khác với mật khẩu cPanel. Bật xác thực hai lớp nếu webmail hỗ trợ.

Shadowserver từng đếm được hơn 523.000 bản Roundcube mở ra Internet vào tháng 9/2026, khi một lỗi SQL injection khác đang bị khai thác. Webmail luôn là mục tiêu hấp dẫn, nên cập nhật sớm là cách phòng thủ rẻ nhất.

Nguồn tham khảo