קובץ SVG הוא תמונה שנשמרת כטקסט, ובניגוד לתמונה רגילה הוא יכול להכיל בתוכו הוראות. חולשה ב-Roundcube אפשרה לנצל בדיוק את זה: הודעה שמכילה SVG שנבנה במיוחד גורמת לקוד לרוץ בדפדפן של מי שפותח אותה. הציון הוא 7.2 מתוך 10.
מה החולשה?
ממשק דואר בדפדפן חייב להציג תוכן שאדם זר שלח. לכן הוא מסנן את מה שמגיע בהודעה ומסיר ממנו כל דבר שיכול לרוץ במקום רק להיראות. הסינון הזה הוא שכבת ההגנה המרכזית של כל webmail, והוא נבחן מול כל נתיב שמישהו חושב עליו.
לפי הרשומה, נתיב אחד נשאר פתוח: תג בשם animate בתוך מסמך SVG. התג הזה נועד להנפיש רכיב בתמונה, אבל אפשר להשתמש בו כדי להגיע להרצת סקריפט. התוצאה היא Cross Site Scripting, כלומר קוד של התוקף שרץ בדפדפן שלכם בתוך ההקשר של תיבת הדואר שלכם.
מה זה אומר בפועל. הקוד רץ כאילו אתם הפעלתם אותו, עם ההרשאות שיש לכם בתיבה. הווקטור מציין שינוי הקשר, וזו הסיבה שהציון גבוה יחסית לחולשה שפוגעת בסודיות ובשלמות ברמה נמוכה בלבד: הנזק אינו נשאר בגבול שבו התחיל.
ויש כאן הבדל אחד מול חולשות אחרות בממשק הזה. לתוקף לא נדרשים פרטי אימות. די בכך שההודעה תגיע אליכם ושתפתחו אותה.
מי מושפע?
Roundcube Webmail בגרסאות נמוכות מ-1.5.12, וכל גרסה בענף 1.6 שנמוכה מ-1.6.12. גרסאות התיקון שוחררו ב-13 בדצמבר 2025.
מבחינת הקורא, זו החולשה שנוגעת למשתמש הרגיל ולא רק למי שמתחזק את השרת. אם אתם נכנסים לדואר של העבודה או של הלימודים דרך הדפדפן ורואים ממשק Roundcube, ההודעה שמפעילה את זה יכולה להגיע אליכם ישירות מבחוץ, בלי שאיש בארגון עשה טעות. את התיקון עדיין מתקין מי שמנהל את השרת, אבל הפעם ההשפעה מגיעה עד המסך שלכם.
האם מנוצלת בפועל?
כן. ב-20 בפברואר 2026 הכניסה CISA, סוכנות הסייבר האמריקאית, את החולשה לקטלוג ה-KEV שלה, רשימת החולשות שידוע שתוקפים משתמשים בהן בשטח, עם מועד תיקון לגופים פדרליים עד 13 במרץ 2026.
בין שחרור התיקון בדצמבר 2025 לסימון בפברואר 2026 עברו כחודשיים בלבד. הקצב הזה הגיוני בפרויקט קוד פתוח: התיקון מתפרסם עם קומיט גלוי שמראה בדיוק מה שונה, ומי שיודע לקרוא אותו יודע גם מה לחפש בשרתים שטרם עדכנו.
מה עושים?
עדכנו ל-1.5.12 או ל-1.6.12 לפחות, לפי הענף שאתם בו. ההודעה הרשמית של Roundcube מ-13 בדצמבר 2025 מקושרת בתיבת המידע הטכני בתחתית העמוד, לצד הקומיט שסוגר את הבאג.
בדקו קודם איזו גרסה רצה אצלכם. מסך ההגדרות של Roundcube מציג את מספר הגרסה, ומי שהתקין דרך מנהל החבילות של המערכת יראה אותו גם משם.
אם אתם משתמשים ואינכם מנהלים את השרת, אין בידיכם דרך לתקן את זה, אבל שתי פעולות כן בידיכם. הראשונה היא לשאול את מנהל הרשת או את הספק לאיזו גרסה השרת עודכן ומתי. השנייה נוגעת להרגלים: הודעה מגורם לא מוכר שמצורפת אליה תמונה היא הנתיב שדרכו הדבר הזה מגיע, ואין סיבה לפתוח כאלה כשלא ציפיתם לקבל אותן.
וזו הנקודה שכדאי לקחת מכאן: בממשק דואר, פתיחת הודעה היא כבר פעולה. לא צריך ללחוץ על שום קישור כדי שהחולשה הזאת תפעל.