Selon un article publié sur Bleeping Computer, une vulnérabilité critique identifiée comme CVE-2025-49113 dans l’application webmail open-source Roundcube est activement exploitée par des hackers. Cette faille permet une exécution de code à distance post-authentification et affecte les versions de Roundcube de la 1.1.0 à la 1.6.10.
La vulnérabilité a été présente dans le logiciel pendant plus de dix ans avant d’être corrigée le 1er juin. Cependant, les attaquants ont rapidement réussi à ingénier à rebours le correctif, à armer la vulnérabilité et à commencer à vendre un exploit fonctionnel sur des forums de hackers.
Roundcube est une solution de webmail populaire, intégrée dans les offres de nombreux fournisseurs d’hébergement tels que GoDaddy, Hostinger, Dreamhost, et OVH. Cette situation a été décrite comme un “email armageddon” en raison de la gravité de l’impact potentiel.
La vulnérabilité a été découverte par Kirill Firsov, PDG de la société de cybersécurité FearsOff, qui a décidé de publier les détails techniques avant la fin de la période de divulgation responsable en raison de la disponibilité d’un exploit. Cet article sert principalement à informer sur la vulnérabilité et son exploitation en cours.
🔗 Source originale : https://www.bleepingcomputer.com/news/security/hacker-selling-critical-roundcube-webmail-exploit-as-tech-info-disclosed/