[oss-security] Roundcube webmail: Post-Auth RCE via PHP Object Deserialization reported by firs0v

Roundcube 邮件系统发现高危漏洞：攻击者可通过 PHP 对象反序列化实现远程代码执行

安全研究人员 firs0v 在 Roundcube 网页邮件系统中发现了一个严重漏洞（CVE-2025-XXXXX）。该漏洞允许已认证的攻击者通过精心构造的恶意请求，利用 PHP 对象反序列化机制在服务器上执行任意代码。

建议用户立即升级到最新发布的 1.6.11 或 1.5.10 版本。系统管理员应检查服务器日志中是否存在可疑活动。

原文链接：http://www.mail-archive.com/oss-security@lists.openwall.com/msg01161.html

#网络安全 #漏洞预警 #邮件安全 #PHP安全
#AIGC

Read more

🔴 PHP 严重漏洞被泄露和复现；欧盟机关建议 PHP 服务在修复漏洞前暂时下线。

- PHP 官网称修复会在今日 22:00 (UTC+8) 发布。
- 有说法称 mitigation 是在 php.ini 设置 session.upload_progress.enabled = Off 。

1. https://php.net/archive/2026.php#2026-10-20-1
2. cert.europa.eu/~
3. HackerNews:50167754

CVE: CVE-2026-109618, CVE-2026-109619
linksrc: https://t.me/usr_bin_cat/4464

#php