“La posta la gestisce il provider, non è un problema mio.” È vero a metà. Il provider installa e aggiorna, ma la casella è tua, e i messaggi dentro pure.
Cos’è Roundcube e come capisco se lo uso?
Roundcube è la pagina web per leggere la posta che molti fornitori di
hosting offrono insieme al dominio. Se per leggere le email apri un
indirizzo tipo webmail.tuodominio.ch e trovi una schermata di login con la
scritta o il logo “Roundcube”, probabilmente è lui. Non è un programma che
installi tu: gira sul server del fornitore, o sul tuo se lo gestisci da solo.
Cosa è successo?
Una falla di Roundcube chiusa a maggio ora viene usata dagli attaccanti. Si chiama CVE-2026-48842 (il codice con cui si cataloga una falla di sicurezza) e ha un punteggio di gravità di 8,1 su 10. Riguarda le versioni 1.6 precedenti alla 1.6.16 e le versioni 1.7 precedenti alla 1.7.1.
Il 21 settembre 2026 il Centro canadese ha aggiornato il suo avviso di maggio: secondo fonti aperte, la falla CVE-2026-48842 è sfruttata attivamente. I dettagli degli attacchi non sono stati resi pubblici.
La falla sta in un componente aggiuntivo chiamato virtuser_query. Un
attaccante, senza nemmeno fare login, può inviare comandi al database che
sta dietro la webmail.
Gli sviluppatori hanno pubblicato le versioni 1.6.16 e 1.7.1, che chiudono otto falle. La più grave è questa, e tocca le installazioni che usano quel componente. Raccomandano di aggiornare tutte le installazioni in uso.
Da allora sono uscite altre versioni di sicurezza: 1.6.17 e 1.7.2 il 5 luglio, 1.6.18 e 1.7.3 il 9 agosto, 1.6.19 e 1.7.4 il 6 settembre 2026. La 1.6.16 o la 1.7.1 bastano per chiudere questa falla, ma l’ultima versione chiude anche le successive.
Roundcube, aggiornamenti di sicurezza 1.6.19 e 1.7.4Cosa rischio se la mia webmail è colpita?
Nei casi colpiti, gli attaccanti possono leggere e modificare il database che sta dietro la webmail, dove si trovano i dati degli utenti. Non vuol dire che tutte le webmail Roundcube siano state violate: serve una versione vecchia e quel componente attivo. Vuol dire che chi è in quella situazione ha un problema concreto.
È una “SQL injection” prima dell’autenticazione: l’attaccante non deve avere un account né la collaborazione dell’utente, e l’impatto su riservatezza e integrità dei dati è classificato alto.
Una casella di posta letta da altri vale molto: fatture, contratti, reimpostazioni di password di altri servizi. Chi la legge può anche scrivere ai tuoi clienti fingendosi te.
CISACosa devo fare adesso?
Se la webmail te la dà il fornitore, il tuo compito è chiedere e proteggere l’accesso. Tre cose:
- Scrivi al fornitore di hosting: “La vostra webmail Roundcube è aggiornata all’ultima versione (1.6.19 o 1.7.4), o almeno alla 1.6.16 o 1.7.1?”. Una domanda precisa riceve una risposta precisa.
- Attiva la verifica in due passaggi, se il fornitore la offre: oltre alla password serve un codice dal telefono.
- Non rimandare gli aggiornamenti che il fornitore annuncia, anche se comportano qualche minuto di interruzione.
Se il server di posta lo gestisci tu (o un tuo tecnico): aggiorna subito Roundcube: almeno alla 1.6.16 o alla 1.7.1 per questa falla, meglio all’ultima versione disponibile (a settembre 1.6.19 o 1.7.4). La correzione esiste da maggio.
Se pensi che la tua casella sia già stata violata (messaggi inviati che non hai scritto, regole di inoltro che non conosci, accessi strani): cambia la password, avvisa i tuoi contatti di diffidare di richieste di pagamento arrivate da te, e segnala. In Svizzera all’Ufficio federale della cibersicurezza UFCS (report.ncsc.admin.ch), in Italia alla Polizia Postale (commissariatodips.it). Una casella violata è il punto di partenza ideale per una truffa del CEO o per una finta fattura con l’IBAN cambiato.
Il Metodo 3V applicato alla manutenzione della webmail
Le tre domande del Metodo 3V valgono anche per gli aggiornamenti. Il metodo viene dal libro «Sicurezza informatica per professionisti».
| Domanda | Applicata alla tua webmail |
|---|---|
| Verifica: sai cosa usi e chi lo aggiorna? | Sai se la tua webmail è Roundcube, in che versione, e chi ha il compito di aggiornarla? |
| Validazione: hai una conferma, non una supposizione? | Il fornitore ti ha confermato l’aggiornamento per iscritto, con la versione? |
| Velocità controllata: quando conviene aspettare? | Qui la fretta è giusta: una falla già sfruttata si chiude subito, non alla prossima manutenzione. |
Domande frequenti
Domande frequenti
Uso Gmail o Outlook: mi riguarda?
No, questa falla riguarda Roundcube, che è un programma diverso. Riguarda chi legge la posta dalla webmail offerta dal proprio hosting o dal proprio server, se quella webmail è Roundcube.
Come faccio a sapere se la mia webmail è aggiornata?
Non puoi controllarlo tu con certezza dalla pagina di login. Chiedilo al fornitore per iscritto, indicando le versioni: almeno 1.6.16 o 1.7.1 per questa falla, meglio l'ultima disponibile (a settembre 1.6.19 o 1.7.4).
Devo cambiare la password della posta?
Se il fornitore ti conferma che era aggiornato, non serve per questa falla. Se non era aggiornato o non sa risponderti, cambiala dopo l'aggiornamento, non prima: finché la falla resta aperta, anche la nuova password è a rischio.
Uso un programma di posta sul computer, non il browser: sono al sicuro?
La falla è nella webmail, non nel tuo programma. Però la tua casella sta sullo stesso server: se il fornitore offre anche una webmail Roundcube non aggiornata, fai comunque la domanda.
Se in azienda nessuno sa dire chi aggiorna cosa, è il primo punto da sistemare: trovi da dove partire nella pagina per le PMI.
