Roundcube零点击XSS漏洞爆发，站长和开发者赶紧看过来

七月 18, 2026 <think> we need to generate 3-5 comma separated lowercase tags for the blog post described. the tit roundcube webmail security vulnerability web host developer web security cross-site scripting. but we need to limit to 3-5 tags comma separated lowercase. no extra text. potential tags: "zero-click xss web hosting developer". but that would be 6 tags need 3-5. so we can do 5 tags: zero-click xss web hosting. or include "developer" as well. we can choose 5. the instruction: return only comma se nothing else. so we need to output something like: zero-click xss web hosting or we could include "developer" instead of "web hosting". might be more relevant. let's maybe "zero-click xss developer". that's 5 tags. but "web hosting" may be less relevant than "security". but the blog men zero-click xss vulnerability stored. so tags likely: zero-click xss developer. we can do "zero-click xss developer". that's 5. but maybe we can also use "cross-site scripting". but that's too similar. we no spaces after commas? usually "tag1 tag2 tag3". the instruction says "comma separated". usually means separated by commas maybe with spaces. the safe answer: "zero-click xss developer". that is 5 tags. we need to return only that line nothing else. let's produce that. </think> zero-click xss

你用的网页邮箱，可能藏着定时炸弹

说实话，你有多久没关心过自己网页邮箱的安全问题了？大多数人就是点开、看看、关掉，根本不会多想。但最近 Roundcube 爆出的一个漏洞告诉我们——这种想当然的态度，迟早会出问题。

什么是"零点击"XSS漏洞？

先来搞清楚这个漏洞为什么值得关注。XSS 漏洞大家应该听说过，通常情况下，攻击者得想办法让你点击某个链接，或者打开一封精心构造的邮件，才能触发恶意代码。

但这次不一样。

所谓"零点击"XSS，就是攻击根本不需要你做任何操作，自己就会执行。而且 Roundcube 这个漏洞是"存储型"的——恶意脚本直接嵌在邮件、联系人或者设置里面，只要你查看相关内容，它就会自动运行。

想象一下：有人给你发了封邮件，你还没打开它，光是预览窗口看到邮件标题那一下，攻击者就能偷走你的会话 cookies，把你跳转到钓鱼网站，或者偷偷翻查你收件箱里的敏感信息。这就是这个漏洞的实际威胁。

CVSS 7.2 分意味着什么

通用漏洞评分系统给这个漏洞打了 7.2 分。听起来好像不算太高？让我们换个角度看看。

7 到 8 分这个区间已经算是高危级别了。这类漏洞可以在不需要复杂攻击链的情况下，造成严重数据泄露或系统沦陷。加上它零点击的特性，这绝对是一个"立刻打补丁"的问题，而不是"有空再说"的事情。

用 cPanel 的朋友要注意了

说到这儿，这事对搞主机的朋友来说就更有意思了。cPanel & WHM 是用得最广的主机控制面板之一，它默认就绑定了 Roundcube 作为网页邮箱。所以当这个漏洞被曝光的时候，受影响的可不只是一小撮单独部署 Roundcube 的人——而是无数家主机商同时中招。

cPanel 确实在 134.0.45 版本里修复了这个问题。但现实是：不是每家主机商都会第一时间更新。有的走自动化流程，每周甚至每月才打一次补丁；有的可能需要人工手动操作。这个时间差，就是攻击者最爱的窗口期。

现在该怎么做

如果你在运营主机：

确认你跑的是 cPanel 134.0.45 或更新的版本
还没开自动更新的话，赶紧开
可以考虑在前面再加一层邮件安全网关，多一道防线总没坏处
留意 Roundcube 有没有异常的访问或操作记录

如果你用的是别人托管的邮箱服务：

主动联系你的主机商，问问他们打完补丁没有
别想当然觉得自己没事，追问清楚
趁这个机会检查一下你依赖的第三方组件，有没有长期没更新的

所有人：

遇到奇怪的邮件要警惕，哪怕发件人是你认识的
浏览器要及时更新
如果你习惯直接在浏览器里用邮箱，要多留个心眼——浏览器端的安全防护通常没有专门的邮件客户端那么多层

说点远的

这件事其实给我们提了个醒：我们天天用的那些"理所当然"的软件——邮件客户端、控制面板、各种"装上就不用管"的工具——其实也需要我们像对待自己写的代码一样，时不时盯着点。

这次漏洞在 cPanel 环境里传播得那么快，正好说明了共享基础设施的双面性。好的一面是补丁出得很快；坏的一面是网页邮箱方案太集中了，一个漏洞能同时影响几千台服务器。

在我们看来，安全从来不是附加功能，而是地基。不管你是在搭建新项目还是维护线上业务，了解你用的工具存在哪些攻击面，这是基本功。Roundcube 受欢迎是因为它确实好用，但"好用"和"开箱即安全"从来不是一回事。

及时打补丁，保持警惕。抽空查一下你主机商跑的是什么版本的 cPanel。你的收件箱会感谢你的。

想了解怎么加固你的主机环境？随时找我们聊聊。

Read in other languages:

NL HU IT FR ES DE DA EN