Celah Webmail Roundcube dan Zimbra yang Dieksploitasi

Celah Roundcube dan Zimbra yang dieksploitasi membuktikan bahwa webmail yang dikelola sendiri adalah target tetap bagi penyerang. Per 29 Oktober 2026, CISA memasukkan dua celah Roundcube (CVE-2025-49113 dan CVE-2025-68461) ke daftar KEV pada Februari 2026, disusul celah command injection Zimbra CVE-2026-73570 pada Agustus 2026. Bagi pelanggan hosting berbasis cPanel, celah Roundcube relevan karena Roundcube adalah antarmuka webmail bawaan cPanel.

Ringkasan Celah Roundcube dan Zimbra

• CVE-2025-49113 (Roundcube): eksekusi kode jarak jauh setelah login melalui deserialisasi objek PHP. Terdampak: Roundcube sebelum 1.5.10 dan 1.6.x sebelum 1.6.11. Skor CVSS 3.1: 8,8 menurut NIST/NVD, 9,9 menurut MITRE sebagai CNA. KEV: 20 Februari 2026, tenggat 13 Maret 2026.
• CVE-2025-68461 (Roundcube): cross-site scripting (XSS) melalui tag animate pada dokumen SVG. Diperbaiki di Roundcube 1.6.12 dan 1.5.12 (Desember 2025). Skor CVSS 3.1: 6,1 menurut NIST/NVD, 7,2 menurut MITRE sebagai CNA. KEV: 20 Februari 2026, tenggat 13 Maret 2026.
• CVE-2026-73570 (Zimbra Collaboration Suite): OS command injection, tanpa autentikasi, ketika paket zimbra-snmp terpasang dan notifikasi SNMP aktif. Terdampak: ZCS sebelum 10.1.20. Skor CVSS 3.1: 8,9 (High) dari MITRE sebagai CNA, tercatat sebagai sumber sekunder di NVD. KEV: 21 Agustus 2026, tenggat hanya tiga hari (24 Agustus 2026).

Apa yang Terjadi pada Roundcube

Roundcube menambal CVE-2025-49113 pada Juni 2025 lewat versi 1.6.11 dan 1.5.10. Menurut pengumuman Roundcube, celah ini adalah post-auth RCE lewat deserialisasi objek PHP, dilaporkan oleh Kirill Firsov. Deserialisasi tidak aman terjadi ketika aplikasi merekonstruksi objek dari data yang bisa dikontrol pengguna, sehingga kode tak terduga bisa berjalan. Menurut BleepingComputer, celah ini dilaporkan dieksploitasi hanya beberapa hari setelah tambalan keluar, dan Shadowserver pada Juni 2025 menghitung lebih dari 84.000 instalasi Roundcube yang rentan.

Pada 20 Februari 2026 CISA menambahkan CVE-2025-49113 dan CVE-2025-68461 ke KEV. CISA tidak membagikan detail serangan. Perlu dicatat bahwa Roundcube punya riwayat panjang sebagai target: BleepingComputer mencatat CISA melacak sepuluh celah Roundcube lain yang pernah atau sedang dieksploitasi, termasuk satu yang dipakai kelompok Winter Vivern dan APT28 terhadap email pemerintah.

Apa yang Terjadi pada Zimbra

CVE-2026-73570 dipublikasikan di NVD pada 13 Agustus 2026. Deskripsinya: bila paket zimbra-snmp terpasang dan notifikasi SNMP aktif, input yang tidak disanitasi saat memproses notifikasi dapat memungkinkan penyerang tanpa autentikasi menjalankan perintah sistem operasi sebagai pengguna Zimbra lewat permintaan SMTP yang dirancang khusus. CISA memasukkannya ke KEV pada 21 Agustus, yang berarti ada bukti eksploitasi aktif, dengan tenggat hanya tiga hari. Halaman keamanan Zimbra mencatat perbaikan command injection di komponen SNMP pada ZCS 10.1.20, rilis 20 Juli 2026, dengan kolom CVE yang masih "TBD"; deskripsi NVD yang menyebut versi "sebelum 10.1.20" sesuai dengan perbaikan tersebut. Rilis 10.1.20 juga memuat beberapa perbaikan lain, antara lain XSS tersimpan di Classic Web Client dan masalah otorisasi.

Mengapa Webmail Menjadi Target dan Relevansinya bagi Indonesia

Webmail menyimpan kredensial, kontak, dan korespondensi sensitif, serta sering menghadap internet. Penguasaan server email berarti akses ke reset password banyak layanan lain dan bahan untuk penipuan lanjutan. Menurut BleepingComputer, Roundcube adalah antarmuka email bawaan cPanel sejak 2008, sehingga setiap pelanggan hosting berbasis cPanel, termasuk di Indonesia, perlu memastikan versinya sudah diperbarui oleh penyedia. Hal yang sama berlaku bagi instansi dan perusahaan yang mengelola webmail sendiri; ini panduan umum, bukan data tentang jumlah pengguna. Risiko email korporat dibahas di serangan email pada perusahaan.

Cara Memeriksa Paparan dan Memperbaiki Celah Roundcube dan Zimbra

1. Roundcube: periksa versi di halaman Tentang atau via panel hosting. Naik ke 1.6.12 atau 1.5.12 sebagai batas minimum, dan lebih baik ke rilis stabil terbaru di cabang yang Anda pakai. Pengguna cPanel perlu memastikan pembaruan cPanel dan paket Roundcube sudah terpasang, atau menanyakannya ke penyedia hosting.
2. Zimbra: jalankan zmcontrol -v untuk melihat versi. Naikkan ke ZCS 10.1.20 atau lebih baru. Jika belum bisa, nonaktifkan notifikasi SNMP atau lepas paket zimbra-snmp sebagai langkah sementara, lalu jadwalkan upgrade.
3. Batasi akses: jangan biarkan panel administrasi terbuka ke internet. Tempatkan webmail di balik WAF, dan terapkan autentikasi multi-faktor.
4. Cabang usang: versi yang tidak lagi didukung tidak akan menerima tambalan, jadi rencanakan migrasi.

Deteksi: Apa yang Dicari di Log

Karena KEV menandakan eksploitasi nyata, lakukan pemeriksaan dugaan kompromi bila server sempat berjalan di versi lama, bukan sekadar menambal. Cari berkas baru atau berubah di direktori aplikasi web, proses anak yang tidak biasa dari proses webmail atau pengguna layanan, koneksi keluar yang tidak lazim dari server email, dan pembuatan aturan penerusan email pada akun pengguna. Tinjau log akses untuk pola permintaan tidak wajar ke endpoint unggahan dan pengaturan, serta lonjakan login dari satu sumber. Bila ada indikasi, rotasi seluruh kredensial pengguna dan admin, lalu ikuti tahapan incident response. Prioritas tambalan dapat ditentukan dengan CISA KEV.

Linimasa Singkat

• Juni 2025: Roundcube 1.6.11 dan 1.5.10 menambal CVE-2025-49113; eksploitasi dilaporkan beberapa hari kemudian.
• Desember 2025: Roundcube 1.6.12 dan 1.5.12 menambal CVE-2025-68461.
• 20 Februari 2026: kedua celah Roundcube masuk KEV.
• 20 Juli 2026: ZCS 10.1.20 dirilis.
• 13 Agustus 2026: CVE-2026-73570 dipublikasikan di NVD.
• 21 Agustus 2026: CVE-2026-73570 masuk KEV dengan tenggat 24 Agustus.

Baca juga: Celah Android yang Dieksploitasi 2026: Qualcomm dan Framework.

Pertanyaan yang Sering Diajukan

Apakah celah Roundcube CVE-2025-49113 perlu login?

Ya, menurut pengumuman Roundcube dan deskripsi NVD, celah ini mensyaratkan pengguna terautentikasi. Namun kredensial email sering bocor atau dicuri lewat phishing, jadi tetap prioritaskan tambalan.

Apakah semua server Zimbra terdampak CVE-2026-73570?

Kondisi yang disebut NVD: paket zimbra-snmp terpasang dan notifikasi SNMP aktif, pada versi sebelum 10.1.20. Tetap periksa konfigurasi Anda, dan naik versi.

Apa yang harus dilakukan pengguna hosting biasa?

Tanyakan ke penyedia hosting versi Roundcube yang dipakai, aktifkan 2FA, ganti password email, dan tinjau aturan penerusan. Lihat juga panduan 2FA.

Kesimpulan

Celah Roundcube dan Zimbra ini berulang pola yang sama: webmail terbuka ke internet, tambalan telat, dan penyerang bergerak cepat. Inventarisasi webmail Anda, tambal, batasi aksesnya, dan periksa tanda kompromi. Jika Anda ingin penilaian terotorisasi atas kondisi server email dan hosting organisasi, hubungi tim Linuxhackingid.