- Aktif istismar
- Yama var
- CWE-502
CVE-2025-49113
Roundcube Webmail'de PHP nesne seri durumdan çıkarma ile uzaktan kod çalıştırma
- Yayımlandı
- Güncellendi
- 21 Şub 2026
- Açık yaşı
- 513 gün
- Kaydı açan
- mitre
Yönetici özeti
Roundcube web posta yazılımındaki bu kritik açık, giriş yapabilen bir kullanıcının sunucuyu ele geçirmesine izin veriyor ve aktif olarak istismar ediliyor. Çalınan e-postalar, kurumsal bilgilerin sızması ve sunucunun kötüye kullanılması gibi ciddi riskler doğurur. Güncelleme gecikmeden yapılmalıdır.
ÖzetTürkçe
Roundcube Webmail'in ayarlar bölümündeki yükleme işlemi (program/actions/settings/upload.php), URL'deki _from parametresini doğrulamıyor. Bu durum güvenilmeyen verinin PHP nesnesi olarak seri durumdan çıkarılmasına (CWE-502) yol açıyor. 1.5.10 öncesi sürümler ile 1.6.0 ile 1.6.11 arasındaki (1.6.11 hariç) 1.6.x sürümleri etkileniyor. Açık, CISA tarafından aktif olarak istismar edilen zafiyetler listesine (KEV) eklenmiştir.
Saldırgan ne yapabilir?
Kimliği doğrulanmış bir saldırgan, web posta sunucusunda uzaktan kod çalıştırabilir. Bu da posta kutularına erişime, verilerin değiştirilmesine ve sunucunun tamamen ele geçirilmesine yol açabilir.
Kaynaktaki açıklama (İngilizce)
Roundcube Webmail before 1.5.10 and 1.6.x before 1.6.11 allows remote code execution by authenticated users because the _from parameter in a URL is not validated in program/actions/settings/upload.php, leading to PHP Object Deserialization.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- Roundcube Webmail'i sürümünüze uygun düzeltilmiş sürüme güncelleyin: 1.5.x kullanıyorsanız 1.5.10, 1.6.x kullanıyorsanız 1.6.11 veya daha yenisi. Üretici
- CISA'nın gereklilikleri doğrultusunda satıcı talimatlarındaki önlemleri uygulayın; önlemler uygulanamıyorsa ürünün kullanımını durdurun. CISA
- Güncelleme yapılana kadar Roundcube'a erişimi güvenilir IP aralıklarıyla veya VPN ile sınırlandırın. Genel öneri
Ek önlemler
- Web sunucusu günlüklerinde ayarlar bölümündeki yükleme isteklerinde olağan dışı _from parametresi değerlerini ve şüpheli istekleri arayın. Genel öneri
- Şüpheli etkinlik tespit ederseniz sunucuyu olası ele geçirme açısından inceleyin ve posta kullanıcılarının parolalarını sıfırlayın. Genel öneri
- Roundcube'u çalıştıran hesabın ve PHP sürecinin yetkilerini asgari düzeyde tutun. Genel öneri
- Roundcube ve eklentilerinin güvenlik duyurularını düzenli takip edin, güncellemeleri zamanında uygulayın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Roundcube Webmail | < 1.5.10 | 1.5.10 |
| ≥ 1.6.0, < 1.6.11 | 1.6.11 |
Kaynaklar12 kaynak
- CVE.org kaydı
- NVD kaydı
- roundcube.net/…/2025/06/01/security-updates-1.6.11-and-1.5.10 Diğer
- github.com/roundcube/roundcubemail/pull/9865 Diğer
- github.com/roundcube/roundcubemail/releases/tag/1.6.11 Diğer
- github.com/…ommit/0376f69e958a8fef7f6f09e352c541b4e7729c4d Diğer
- github.com/roundcube/roundcubemail/releases/tag/1.5.10 Diğer
- github.com/…ommit/7408f31379666124a39f9cb1018f62bc5e2dc695 Diğer
- github.com/…ommit/c50a07d88ca38f018a0f4a0b008e9a1deb32637e Diğer
- fearsoff.org/research/roundcube Diğer
- vicarius.io/…e-2025-49113-roundcube-vulnerability-detection Diğer
- vicarius.io/…sts/cve-2025-49113-roundcube-mitigation-script Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.