Le webmail Roundcube, déjà attaqué par des pirates russes, corrige vingt failles d'un coup

Vingt failles corrigées d'un coup. Le 19 octobre, l'équipe de Roundcube a publié les versions 1.6.20 et 1.7.5 de son webmail libre, celui que le panneau d'hébergement cPanel propose par défaut depuis 2008, selon BleepingComputer. Elle recommande vivement de mettre à jour toutes les installations en production.

Le même jour, le CERT-FR a publié un avis sur ces failles. Parmi les risques, il cite l'exécution de code arbitraire à distance, le contournement de la politique de sécurité, la falsification de requêtes côté serveur (SSRF), l'injection de scripts dans les pages (XSS) et la falsification de requêtes intersites (CSRF). Les versions touchées : toutes celles antérieures à la 1.6.20, et la branche 1.7 avant la 1.7.5.

Des requêtes IMAP détournées aux images piégées

Le bulletin de Roundcube ne donne ni note de gravité ni identifiant CVE. Il décrit des failles de natures très variées, signalées par une douzaine de chercheurs :

• deux injections de commandes IMAP (le protocole qui relie le webmail au serveur de messagerie) par des paramètres mal filtrés ;
• une injection d'objets lors de la lecture des données de session ;
• des pièces jointes potentiellement dangereuses transmises à ImageMagick, l'outil chargé de redimensionner les images ;
• plusieurs moyens de contourner le blocage des contenus distants et le filtre contre les requêtes vers le réseau interne ;
• des injections d'en-têtes de messages, une faille XSS et un contournement de la protection CSRF ;
• un défaut du module de changement de mot de passe pour Modoboa, qui pouvait permettre de modifier le mot de passe d'un autre compte.

Ni Roundcube ni le CERT-FR ne signalent d'exploitation à ce stade.

Pourquoi ne pas attendre

Roundcube est une cible connue. En février 2026, la CISA, l'agence américaine de cybersécurité, a ajouté à son catalogue des failles exploitées deux vulnérabilités du webmail. L'une d'elles, CVE-2025-49113, une faille critique d'exécution de code, avait été exploitée quelques jours seulement après son correctif de juin 2025, rapporte BleepingComputer. Le même média rappelle que le groupe russe Winter Vivern a exploité une faille de Roundcube contre des administrations européennes, et que le groupe d'espionnage russe APT28 s'en est servi contre des messageries gouvernementales ukrainiennes.

Les correctifs du 19 octobre sont désormais visibles dans le code source public du projet. Pour un attaquant, c'est une piste pour retrouver les failles sur les serveurs qui n'ont pas encore été mis à jour.

Que faire ?

• Mettre à jour en 1.6.20 (branche 1.6) ou en 1.7.5 (branche 1.7), en suivant les notes de version publiées sur GitHub.
• Si votre webmail est fourni par un hébergeur ou par un panneau comme cPanel, lui demander quand la mise à jour sera appliquée.
• Si vous utilisez le module de mot de passe pour Modoboa, traiter ce serveur en priorité.
• Vérifier que les versions plus anciennes, encore présentes sur des serveurs oubliés, sont bien retirées ou mises à jour.

Reste à savoir si certaines de ces failles recevront un identifiant CVE et une note de gravité. Ce serait plus simple pour les équipes qui doivent décider où commencer.