Multiples vulnérabilités affectant Roundcube Webmail
Plusieurs vulnérabilités affectant Roundcube Webmail pourraient permettre à un attaquant d'exécuter du code arbitraire à distance, de provoquer des falsifications de requêtes côté serveur et de compromettre la confidentialité et l'intégrité des données sur les systèmes affectés.
Description
Contexte technique et détails de la vulnérabilité
Roundcube Webmail est un client de messagerie web open source permettant aux utilisateurs d'accéder à leurs courriels et de les gérer depuis un navigateur. Le 19 octobre 2026, l'équipe de développement de Roundcube a publié des mises à jour de sécurité corrigeant vingt vulnérabilités signalées par plusieurs chercheurs en sécurité. Parmi les plus critiques figurent l'injection de commandes IMAP et d'en-têtes de courriel, le contournement de la protection contre les requêtes côté serveur, notamment au moyen d'adresses IPv6 NAT64, et des attaques CSRF lors du signalement de courriels comme indésirables. D'autres vulnérabilités concernent la gestion des sessions, la modification non autorisée du mot de passe d'un autre compte via le pilote Modoboa, ainsi que le traitement des pièces jointes par ImageMagick, avec une exposition à des contenus dangereux et un contournement des limites de consommation de ressources. Ces vulnérabilités résultent principalement d'un défaut de validation, d'échappement et de traitement des données fournies en entrée. Leur exploitation permettrait à un acteur malveillant d'accéder sans autorisation à des données et, selon la vulnérabilité exploitée, d'exécuter du code arbitraire à distance sur les systèmes affectés.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Injection de commandes IMAP arbitraires ;
- Exécution de code arbitraire à distance ;
- Atteinte à la confidentialité des données ;
- Atteinte à l'intégrité des comptes et des données.
Systèmes affectés
Produits, composants et versions concernés
- Roundcube Webmail versions 1.6.x antérieures à 1.6.20 ;
- Roundcube Webmail versions 1.7.x antérieures à 1.7.5.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour Roundcube Webmail vers les versions 1.6.20, 1.7.5 ou supérieures ;
- Pour les installations gérées via un panneau d'administration (cPanel, Plesk) ou via les paquets d'une distribution, vérifier auprès de l'éditeur que la version 1.6.20 ou 1.7.5 est bien déployée ;
- Désactiver les extensions et pilotes de mot de passe inutilisés ;
- Analyser les journaux d'accès et IMAP afin de détecter toute activité inhabituelle.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.