Roundcube : la mise à jour se fait côté serveur
Le CERT-FR signale plusieurs failles dans Roundcube Webmail. Les branches concernées sont à mettre à jour vers 1.6.20 ou 1.7.5, selon l’installation. Si votre hébergeur gère le webmail, c’est à lui de confirmer le correctif.
Accessible
Image générée · SecuFocus
En bref
L’essentiel
Vous administrez Roundcube ? Vérifiez la version du serveur : le CERT-FR vise les versions antérieures à 1.6.20 et la branche 1.7 avant 1.7.5. Si vous utilisez seulement le webmail de votre hébergeur, demandez-lui si la mise à jour a été appliquée. Changer de navigateur ne corrige pas le serveur.
Deux branches à vérifier
L’avis CERTFR-2026-AVI-1340, publié le 19 octobre, signale plusieurs vulnérabilités dans Roundcube Webmail. Il liste les versions antérieures à 1.6.20 et les versions 1.7.x antérieures à 1.7.5. Pour une installation de la branche 1.6, le repère est donc 1.6.20 ; pour la branche 1.7, c’est 1.7.5.
Certaines failles peuvent permettre une exécution de code à distance, des requêtes envoyées par le serveur vers une destination choisie par l’attaquant (SSRF), ou une injection de script dans une page (XSS). Le bulletin ne dit pas que chacune de ces conséquences touche toute configuration.
Avec Debian 13, vérifier le paquet de la distribution
Le 23 octobre, Debian ajoute DSA-6579-1. Son suivi donne roundcube 1.6.18+dfsg-0+deb13u1 comme vulnérable pour trixie et 1.6.20+dfsg-0+deb13u1 comme corrigé dans trixie-security. Si l’installation utilise les paquets Debian 13, comparez le numéro complet et vérifiez que la mise à jour de sécurité de cette distribution est appliquée, plutôt que de remplacer les fichiers par une archive amont.
Qui peut appliquer le correctif ?
Si vous gérez le serveur, identifiez la version installée et son mode de distribution, puis préparez la mise à jour de la branche concernée. Conservez une sauvegarde utilisable de la configuration et des données nécessaires à votre installation. Après l’intervention, vérifiez la connexion, l’envoi d’un message et l’ouverture d’une pièce jointe sans données sensibles.
Si Roundcube est fourni avec votre hébergement, demandez au prestataire si l’avis CERTFR-2026-AVI-1340 est traité. Vous n’avez pas à installer un programme envoyé par e-mail pour corriger ce webmail. Une mise à jour du navigateur ou un changement de mot de passe ne remplace pas le correctif du serveur.
Ce que cet avis ne permet pas de conclure
L’avis lu ne confirme pas d’exploitation active et ne détaille pas les conditions propres à chaque faille. Nous ne présentons donc pas toutes les installations Roundcube comme déjà compromises. Le geste vérifiable est de faire confirmer le correctif par la personne qui maintient le serveur.
Cette note s’appuie sur le CERT-FR et le suivi de sécurité Debian. SecuFocus n’a ni installé ces versions ni rejoué une attaque. Le bulletin Roundcube référencé par le CERT-FR n’a pas été utilisé comme source directe, car il ne figure pas dans notre liste de veille autorisée.
Vérifier, approfondir
Les sources de cet article
Les numéros relient chaque référence aux passages qui l’utilisent. La date indique quand la documentation a été consultée.
- Debian Security Tracker : DSA-6579-1, Roundcube pour trixie ↗security-tracker.debian.org ·
Cet article s’appuie sur les sources ci-dessus. Les exercices proposés sont à réaliser sur vos appareils ; SecuFocus ne les présente pas comme des essais menés par la rédaction. Les interfaces et les fonctions peuvent changer. Méthode et corrections.
Citer cet article
Pour retrouver cette lecture ou la partager avec sa référence.