Un solo correo bastó para hackear toda la red: qué más provoca no actualizar Roundcube

La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) añadió a su catálogo de vulnerabilidades explotadas conocidas dos vulnerabilidades en el cliente de correo Roundcube Webmail – el software que se usa en muchos servidores de correo en todo el mundo y que a menudo aparece en redes corporativas. Las fallas ya se emplean en ataques reales, por lo que la lista se actualizó basándose en evidencias confirmadas de abuso.

La primera se registra como CVE-2025-49113 (puntuación CVSS 9.9). El problema permite a un usuario autenticado ejecutar código arbitrario en el servidor debido al manejo incorrecto de datos de entrada en el módulo de subida de archivos. La vulnerabilidad afecta a las versiones de Roundcube hasta la 1.5.10 y a la rama 1.6.x hasta la 1.6.11 inclusive. Aparecieron pruebas de explotación en la red poco después de la publicación de la descripción del problema.

El segundo problema, CVE-2025-68461 (puntuación CVSS 7.2), está relacionado con ataques de secuencias de comandos entre sitios (XSS) a través de etiquetas en documentos SVG, cuando código malicioso puede ejecutarse en el navegador del usuario sin su conocimiento. La vulnerabilidad también se explotó antes de su inclusión en el catálogo.

La agencia indicó que las agencias federales de EE. UU. están obligadas a remediar estas y otras vulnerabilidades activas antes de las fechas establecidas en la directiva promulgada en 2021. Aunque la directiva afecta directamente solo a las redes gubernamentales, cualquier organización que no quiera convertirse en objetivo de ataques debe actualizar sus sistemas a versiones seguras cuanto antes y cerrar estas brechas.

Vulnerabilidades como las de Roundcube suelen convertirse en un punto de entrada para ciberdelincuentes e incluso grupos patrocinados por estados, ya que comprometer un servidor de correo puede dar acceso a la correspondencia, credenciales y otros datos importantes. Por eso, actualizar a tiempo y corregir los problemas conocidos sigue siendo una de las formas más fiables de proteger redes e infraestructuras.