重點整理
- Roundcube 郵件系統爆出嚴重漏洞，駭客免密碼即可入侵。
- 漏洞可能導致企業郵件帳密與機密信件內容外洩。
- 官方已發布更新版本，企業應盡快確認並升級系統。
- 若缺乏專人維護主機，建議尋求專業代管服務協助。
許多中小企業為了方便，會使用網頁郵件系統來收發公司信件，其中 Roundcube 是一套非常常見的開源選擇。然而，近期資安圈傳來警告，Roundcube 被發現存在一個嚴重的安全漏洞，而且已經有駭客在實際攻擊了。這意味著，如果您的公司正在使用這套系統且沒有及時更新，公司的機密郵件、客戶聯絡資訊甚至員工帳號密碼，都有可能暴露在風險之中。這篇文章將用白話文帶您了解這次漏洞的嚴重性，以及企業現在該怎麼做。
什麼是 Roundcube 漏洞？為什麼它特別危險？
Roundcube 是一套開源的網頁郵件系統，讓企業可以透過瀏覽器來管理電子郵件。這次被點名的漏洞編號為 CVE-2026-48842，屬於「SQL Injection」（SQL 資料隱碼攻擊）。簡單來說，就是駭客透過輸入惡意指令，騙過資料庫執行非預期的操作。
這個漏洞最危險的地方在於它是「Pre-authentication」（免驗證）的。一般來說，駭客要偷看郵件，至少得先想辦法弄到一組帳號密碼；但這次因為漏洞出在系統的 virtuser_query 外掛，駭客完全不需要登入，就能直接對資料庫下達惡意指令。
根據資安公司 SentinelOne 的分析，這種攻擊方式可能會讓駭客直接竊取郵件帳戶的憑證，甚至是儲存在伺服器上的所有機密信件內容。對於依賴電子郵件進行商業溝通的企業來說，這無異於把公司大門的鑰匙直接交給了陌生人。
影響範圍有多大？駭客已經在積極行動
加拿大網路安全中心已經發布警告，指出這個漏洞正在被積極利用。雖然 Roundcube 官方早在 2026 年 5 月就發布了 1.6.16 和 1.7.1 版本來修復這個問題，但許多企業可能因為缺乏專人維護，至今仍在運行舊版本。
根據 Shadowserver 基金會的數據，全球有超過 52.3 萬個 Roundcube 實例直接暴露在網路上，截至 9 月底，仍有部分主機被標記為易受攻擊的狀態。這代表只要駭客寫個簡單的掃描程式，就能輕易找到還沒更新的企業目標。
事實上，Roundcube 一直是駭客鎖定的熱門目標。早在今年 2 月，美國網路安全與基礎設施安全局（CISA）就標記了另外兩個 Roundcube 漏洞正在被利用。到了 7 月，資安公司 Proofpoint 更發現疑似來自特定地區的駭客組織，利用 Roundcube 的已知漏洞來植入 Web shells（一種讓駭客遠端控制伺服器的惡意後門程式）或名為 VShell 的工具，藉此長期潛伏在企業系統中。
企業現在該怎麼做？
面對這種可能導致機密外洩的危機，企業不能只是被動等待。首先，請公司的 IT 人員或負責網站的同仁，立刻確認目前使用的 Roundcube 版本。如果還在 1.6.16 或 1.7.1 之前，請務必盡快安排升級。如果公司沒有專責的 IT 人員，或者您根本不知道公司的郵件系統是哪一版，這就是一個需要正視的管理盲區。
崴米的建議
從顧問的角度來看，資安問題往往不是技術做不到，而是「沒人定期檢查與維護」。針對這次的事件，我們給中小企業主以下兩點建議：
- 立即盤點並更新系統：請內部同仁或配合的廠商，確認公司使用的郵件系統或網站後台版本，將修補漏洞視為第一優先級，不要讓已知的破口成為駭客的提款機。
- 建立常態性的主機維護機制：系統更新、憑證管理、資料備份不該依賴員工的記憶或空閒時間。建議您可以考慮將主機交給專業的網站代管維護與主機監看團隊來照顧，讓系統隨時保持在最新且安全的狀態，您也能更安心地專注在本業發展。
參考來源：Roundcube Pre-Auth SQL Injection Flaw Actively Exploited in the Wild
