Kritische Sicherheitslücke in Roundcube Webmail – sofortiges Update erforderlich

In Roundcube Webmail wurde eine schwerwiegende Schwachstelle (CVE-2025-49113) entdeckt, die es eingeloggten Angreifern ermöglicht, beliebigen Code auf dem Server auszuführen. Die Lücke steckt in der Datei-Upload-Funktion, wo ein Parameter nicht korrekt geprüft wird – was sogenannte PHP Object Deserialization ermöglicht. Die US-Behörde CISA hat die Schwachstelle bereits in ihren Katalog aktiv ausgenutzter Lücken aufgenommen, was bedeutet: Sie wird in freier Wildbahn angegriffen.

Betroffen sind alle Roundcube-Installationen vor Version 1.5.10 sowie die 1.6.x-Reihe vor Version 1.6.11. Wer eine selbst gehostete Roundcube-Instanz betreibt, sollte die eingesetzte Version sofort prüfen. Das geht meist über die Admin-Oberfläche oder direkt in der Versionsdatei des Webservers. Nutzer von Shared-Hosting-Paketen sollten beim Anbieter nachfragen, ob die Instanz bereits aktualisiert wurde.

Die Empfehlung ist eindeutig: Update auf 1.5.10 oder 1.6.11 ohne Verzug. Die gepatchten Versionen stehen auf GitHub und über die offizielle Roundcube-Website bereit. Debian-Nutzer können das Update über den normalen Paketmanager einspielen. Wer das Update nicht sofort durchführen kann, sollte den öffentlichen Zugriff auf die Webmail-Instanz vorübergehend einschränken.

Für reine Nutzer – also Personen, die Roundcube über einen Anbieter nutzen und keinen eigenen Server betreiben – besteht kein direkter Handlungsbedarf, außer den Anbieter auf den Patch anzusprechen.

Weitere Details: https://roundcube.net/news/2025/06/01/security-updates-1.6.11-and-1.5.10 sowie der NVD-Eintrag: https://nvd.nist.gov/vuln/detail/CVE-2025-49113

Tags :

Related Posts

KI-generierte Passwörter sind unsicher – auch wenn sie stark aussehen

Wer ChatGPT, Claude oder Gemini bittet, ein Passwort zu generieren, bekommt etwas, das sicher aussieht – aber es nicht ist. Sicherheitsforscher von Irregular Security haben das systematisch nachgewiesen: In 50 Testläufen produzierte Claude Opus 4.6 das Passwort G7$kL9#mQ2&xP4!w satte 18-mal. Klassische Passwort-Tools wie KeePass bewerten solche Passwörter mit ~100 Bit Entropie und damit als „exzellent" – tatsächlich liegt die reale Entropie laut Analyse bei nur etwa 27 Bit. Das ist der Unterschied zwischen „Milliarden Jahre zum Knacken" und „Sekunden mit einem Heimrechner".

Read More

Kritische Sicherheitslücken in Kubernetes Ingress NGINX Controller

Der Kubernetes Ingress NGINX Controller weist mehrere Schwachstellen auf, die mit einem CVSS-Score von 8.8 als hochkritisch eingestuft werden. Betroffen sind alle Versionen vor 1.13.7 und 1.14.3. Die Lücken ermöglichen authentisierten Angreifern Remote-Code-Execution, das Umgehen von Sicherheitsmaßnahmen, Informationsoffenlegung und Denial-of-Service-Angriffe.

Read More

Kritische RCE-Schwachstelle im OpenSSL Januar-2026-Release gefixt

Ein autonomes KI-Analysesystem namens AISLE hat sämtliche 12 Sicherheitslücken entdeckt, die OpenSSL im koordinierten Januar-2026-Release behoben hat. Dies stellt einen Meilenstein in der automatisierten Schwachstellenanalyse dar, da OpenSSL als eine der am intensivsten geprüften Codebases weltweit gilt. Einige der gefundenen Schwachstellen existierten seit Jahrzehnten – eine davon seit 1998. Die Entdeckungen umfassen eine hochkritische Remote Code Execution-Schwachstelle (CVE-2025-15467) durch Stack Buffer Overflow beim CMS AuthEnvelopedData-Parsing, die vor jeder Authentifizierung ausgelöst werden kann.

Read More