一项新的安全威胁浮出水面，超过84000个Roundcube网络邮件安装受到CVE-2025-49113漏洞的攻击。该漏洞是一个严重的远程代码执行（RCE）漏洞，影响了Roundcube 1.1.0至1.6.10版本，攻击者可以通过身份验证进行利用。尽管需要凭据，但黑客可以通过CSRF、日志抓取或暴力破解等方式获取。该漏洞已于2025年6月1日修复，但补丁发布后不久即被逆向工程，导致漏洞利用成为可能。由于Roundcube被广泛应用于共享主机和政府、教育等部门，此次暴露构成重大网络安全风险，强烈建议管理员尽快更新到安全版本。

📧漏洞详情：CVE-2025-49113是一个远程代码执行（RCE）漏洞，影响Roundcube的1.1.0到1.6.10版本，该漏洞源于未处理的$_GET['_from']输入，当会话键以感叹号开始时，会启用PHP对象反序列化和会话损坏。

⚠️影响范围：超过84000个Roundcube实例容易受到攻击，这些实例分布广泛，包括共享主机（如GoDaddy, Hostinger, OVH）以及政府、教育和技术部门。

🛠️利用方式：尽管利用该漏洞需要身份验证，但攻击者可以通过CSRF、日志抓取或暴力破解等方式获取有效凭据，从而实施攻击。

🛡️修复建议：强烈建议系统管理员尽快更新到修复CVE-2025-49113的1.6.11和1.5.10版本。如果无法升级，建议限制webmail访问，关闭文件上传，添加CSRF保护，阻止有风险的PHP函数，并监控漏洞利用指标。