Skip to content
Hacker Posts

Roundcube 1.6.20 et 1.7.5 corrigent plusieurs failles, dont une RCE

Roundcube publie 1.6.20 et 1.7.5. Le CERT-FR (AVI-1340) liste exécution de code à distance, SSRF, XSS, CSRF et contournement de politique. Mettez à jour les installations exposées.

Publié le 2 min de lecture
roundcubewebmailalertecert-fr

Roundcube a publié les versions 1.6.20 et 1.7.5 de son webmail open source, qui corrigent plusieurs vulnérabilités de sécurité. Le CERT-FR a répercuté la sortie dans l'avis CERTFR-2026-AVI-1340 le 19 octobre. Roundcube étant massivement déployé chez les hébergeurs et derrière de nombreux portails de messagerie, la mise à jour est prioritaire sur toute instance exposée.

La source primaire est l'annonce de sécurité de Roundcube, qui indique que les deux versions « contiennent des correctifs pour des vulnérabilités de sécurité récemment signalées ».

Versions concernées

  • Affectées : Roundcube Webmail 1.7.x antérieures à 1.7.5, et les versions antérieures à 1.6.20.
  • Corrigées : 1.6.20 et 1.7.5.

Nature des failles

D'après le CERT-FR, les correctifs couvrent :

  • une exécution de code arbitraire à distance ;
  • une falsification de requête côté serveur (SSRF) ;
  • une injection de code indirecte à distance (XSS) ;
  • une falsification de requête côté client (CSRF) ;
  • un contournement de la politique de sécurité.

Au moment de la publication, ni l'avis du CERT-FR ni l'annonce de Roundcube n'énumèrent les identifiants CVE correspondants, et aucune exploitation active n'est signalée. Nous ne citons donc pas de numéro de CVE tant qu'il n'est pas publié par l'éditeur ou le NVD.

Que faire

  1. Mettez à jour vers 1.6.20 (branche 1.6) ou 1.7.5 (branche 1.7) selon votre déploiement.
  2. Si la mise à jour doit attendre, restreignez l'accès à l'interface webmail (filtrage réseau, VPN, authentification en amont).
  3. Surveillez les journaux applicatifs pour des requêtes anormales vers des ressources externes (indice de tentative SSRF) et des charges XSS dans les messages.
  4. Vérifiez la version réellement servie après déploiement — plusieurs instances derrière un reverse proxy peuvent rester en arrière.

Contexte

C'est le troisième lot de correctifs de sécurité Roundcube relayé par le CERT-FR cette année, après 1.6.16 / 1.7.1 en mai (injection SQL pré-authentification) et 1.6.17 / 1.7.2 en juillet (XSS zero-click en texte brut). Le webmail reste une cible de choix : exposé en permanence, souvent mutualisé, et porte d'entrée vers les boîtes aux lettres. La présence d'une RCE dans ce lot justifie de ne pas attendre la publication des CVE pour corriger.

Articles liés