平台
roundcube
组件
roundcube/roundcubemail
修复版本
1.5.14
1.6.14
1.7-rc5
CVE-2026-35537 describes an Insecure Deserialization vulnerability found in Roundcube Webmail versions prior to 1.5.14 and 1.6.14, specifically affecting versions up to and including 1.7-rc4. This flaw allows unauthenticated attackers to potentially perform arbitrary file write operations by manipulating session data. A fix is available in version 1.7-rc5, and users are strongly advised to upgrade to mitigate this risk.
Roundcube Webmail 在 1.5.14 之前和 1.6.14 之前的版本中存在 CVE-2026-35537 漏洞，由于 Redis/Memcache 会话处理程序中的不安全反序列化而构成重大风险。未经身份验证的攻击者可能利用此漏洞在系统上执行任意文件写入操作。这可能导致关键文件被修改或删除，从而损害邮件服务器的完整性，并可能启用恶意代码执行。此漏洞的严重性在于攻击者无需凭据即可轻松利用它，使其成为恶意行为者的有吸引力的目标。无需身份验证即可利用漏洞会放大风险，因为任何拥有网络访问权限的人都可能试图利用此弱点。为了降低这种风险，必须应用安全更新。
此漏洞是通过将恶意会话数据注入到 Redis/Memcache 系统中来利用的。这些数据包含序列化的代码，当 Roundcube Webmail 对其进行反序列化时，攻击者就可以在服务器上执行任意命令。在反序列化之前未验证会话数据是此漏洞的主要原因。攻击者可以创建一个包含恶意数据的会话，然后尝试访问 Roundcube Webmail，这将触发反序列化并执行恶意代码。利用此漏洞无需身份验证，从而简化了攻击。建议进行渗透测试以识别服务器配置和安全中的潜在弱点。
漏洞利用状态
EPSS
0.04% (12% 百分位)
CISA SSVC
解决 CVE-2026-35537 的推荐解决方案是将 Roundcube Webmail 更新到 1.5.14 或更高版本，或 1.6.14 或更高版本。版本 1.7-rc5 也包含修复程序。此更新可修复 Redis/Memcache 会话处理程序中的不安全反序列化，从而防止执行任意文件写入操作。除了更新之外，还建议审查服务器配置，以确保 Redis/Memcache 会话得到适当的保护和隔离。监控服务器日志以查找可疑活动也有助于检测和响应潜在的利用尝试。如果无法立即更新，请考虑实施其他安全措施，例如限制网络访问并实施防火墙。
Actualice Roundcube Webmail a la versión 1.6.14 o superior para mitigar la vulnerabilidad de deserialización insegura. Esta actualización corrige la falla que permite a atacantes no autenticados realizar operaciones de escritura de archivos arbitrarios a través de datos de sesión manipulados.
漏洞分析和关键警报直接发送到您的邮箱。
1.5.14 之前和 1.6.14 之前的版本容易受到此漏洞的攻击。
检查您使用的 Roundcube Webmail 版本。如果它早于提到的版本，则容易受到攻击。
反序列化不安全是指在没有适当验证的情况下反序列化序列化数据，从而允许攻击者注入恶意代码。
考虑限制网络访问，实施防火墙并监控服务器日志。
目前没有特定的工具，但渗透测试可以帮助识别漏洞。
CVSS 向量