ما الذي نُشر وما الذي يجب تذكره
أعلن مشروع Roundcube في 19 أكتوبر 2026 عن تحديث أمني لفرعيه المدعومين: ينتقل الفرع 1.6 (دعم طويل الأمد) إلى 1.6.20، وينتقل الفرع 1.7 إلى 1.7.5. يوصي الإعلان بتحديث جميع تثبيتات الإنتاج ولا يقدم أي حل بديل. وتطلب ملاحظات الإصدار أخذ نسخة احتياطية من البيانات قبل التحديث.
لا يذكر إعلان Roundcube أي معرّف CVE. أما Debian فنشرت في 23 أكتوبر 2026 النشرة DSA-6579-1 التي تجمع 20 معرّف CVE دون ربط كل واحد منها بإصلاح محدد. وتختلف المواقع الخارجية في هذه المعرّفات، لذلك لا يذكر هذا الدليل أياً منها ويحيل إلى المصادر الأولية في آخره.
فئات الثغرات المصلحة
- حقن أوامر IMAP — سطر جديد في المعامل
_uid(إجراءات الترويسات وعرض المصدر) أو_flag(إجراء الوسم) كان يسمح بحقن أوامر نحو خادم IMAP. - حقن ترويسات الرسائل — اسم المرسل في إجراء إعادة الإرسال، والترويسات
ReferencesوIn-Reply-ToوMessage-ID، وموضوع رسالة محوّلة كمرفق، ونوع الوسائط لصورة مضمنة. - حقن كائن في الجلسة — كان إلغاء تسلسل الجلسة يقبل مفاتيح تبدأ بعلامة التعجب.
- XSS — كانت استجابة الخطأ من مشغّل تغيير كلمة المرور تُعالج بشكل خاطئ عند العرض.
- تجاوز حظر المحتوى البعيد — السمة
byفي SVG SMIL، وتسلسلات الهروب في CSS، وتجاوز نطاق CSS عبر at-rules. - SSRF والإعدادات المتجاوزة — كان مرشح العناوين المحلية يتجاهل نطاق NAT64
64:ff9b::/96، وكانت أسماء مستعارة قديمة للإجراءات تفلت من الإعدادdisabled_actions. - المشغّلات والاستيراد — كان مشغّل كلمات المرور Modoboa قادراً على تغيير كلمة مرور حساب آخر، وكان استيراد SquirrelMail يستخدم اسم دخول غير معقّم في مسار ملف.
أي إصدار تستهدف حسب تثبيتك
مرّر الجدول أفقيًا
| التثبيت | الإصدار المصلح | للتذكير |
|---|---|---|
| Roundcube 1.6.x (الأرشيف الرسمي) | 1.6.20 | فرع الدعم الطويل: ابقَ في 1.6 وانتقل إلى 1.6.20 |
| Roundcube 1.7.x (الأرشيف الرسمي) | 1.7.5 | انتقل إلى 1.7.5 دون تغيير الفرع |
| Debian 13 (trixie) | 1.6.20+dfsg-0+deb13u1 | إصدار الحزمة المذكور في النشرة DSA-6579-1 |
| إصدارات Debian الأخرى | راجع نشرة Debian ومتتبع الأمان | النشرة تذكر trixie فقط: اقرأ متتبع الحزمة لإصدارك |
| بريد الويب المقدم من cPanel | حسب تحديث اللوحة | يتبع تحديثات cPanel: لا نؤكد هنا أي موعد |
| لوحة أو توزيعة أخرى | حسب الناشر | اقرأ سجل تغييرات الحزمة وليس الرقم وحده |
لماذا لا يكفي رقم الإصدار
يُثبَّت بريد الويب بإحدى ثلاث طرق: بالأرشيف الرسمي المنسوخ يدوياً، أو بحزمة التوزيعة، أو عبر لوحة الاستضافة. لكل طريقة تحديث مختلف، وفي الأخيرتين فخ: قد يُنقل الإصلاح إلى إصدار قديم دون أن يتغير رقمه، أو قد لا يكون قد أُدرج بعد.
ولذلك تتعامل الوكالة التي تدير عشرات الحسابات مع عدة مصادر للحقيقة. قبل التحديث لا بد من جرد: لكل عميل، أين يوجد بريد الويب، وبأي قناة يُقدَّم، وأي إصدار يعرضه فعلاً.
جرد إصدارات Roundcube
سرد الخوادم وقناة التسليم
دوّن لكل خادم هل يأتي Roundcube من حزمة التوزيعة أو من أرشيف نُسخ يدوياً أو من لوحة الاستضافة. هذه القناة تحدد طريقة التحديث.
قراءة إصدار حزمة Debian أو Ubuntu
على جهاز يستخدم حزمة التوزيعة: الأمر
dpkg -l roundcube-coreيعطي الإصدار المثبت، والأمرapt-cache policy roundcube-coreيعرض الإصدار المرشح في مستودعاتك.قراءة سجل تغييرات الحزمة
في Debian قد يبقى الرقم نفسه عند نقل إصلاح إلى إصدار قديم. اقرأ سجل الحزمة بالأمر
apt changelog roundcube-coreوابحث عن ذكر النشرة DSA-6579-1 بدلاً من الاعتماد على الإصدار المعروض وحده.تسجيل إصدار تثبيت يدوي
بالنسبة إلى أرشيف مثبت يدوياً، يظهر الإصدار في واجهة Roundcube ضمن معلومات التطبيق. سجّله في جدول المتابعة مع مسار مجلد التثبيت الذي ستعيد استخدامه في خطوة التحديث.
تسجيل النتيجة لكل عميل
سطر لكل حساب: الخادم، القناة، الإصدار المقروء، الإصدار المستهدف، تاريخ التحديث. يصبح هذا الجدول دليلاً على تطبيق الإصلاح في كل مكان، وقائمة متابعة للحسابات المتأخرة.
التحديث حسب قناة التسليم
القاعدة واحدة لكل القنوات: استهدف 1.6.20 للفرع 1.6 و1.7.5 للفرع 1.7 بعد أخذ نسخة احتياطية. بالنسبة إلى حزمة توزيعة يتم التحديث عبر مدير الحزم. وبالنسبة إلى أرشيف رسمي يتم عبر السكربت installto.sh المرفق مع Roundcube. وبالنسبة إلى بريد ويب تقدمه لوحة، يتبع التحديث تحديث اللوحة.
تحديث تثبيت
نسخ المجلد وقاعدة البيانات احتياطياً
انسخ مجلد Roundcube وصدّر قاعدة البيانات (البنية والبيانات) إلى مكان آمن. تطلب ملاحظات الإصدار هذه النسخة صراحة قبل أي تحديث.
حزمة Debian أو Ubuntu
نفّذ
apt updateثمapt install --only-upgrade roundcube-core. بعد ذلك تحقق من الإصدار بالأمرdpkg -l roundcube-coreومن سجل الحزمة.الأرشيف الرسمي: تنزيل الإصدار
نزّل أرشيف الإصدار المستهدف من صفحة التنزيل في Roundcube ثم فك ضغطه في مجلد عمل خارج تثبيت الإنتاج.
الأرشيف الرسمي: تشغيل سكربت التحديث
من المجلد الذي فككت ضغطه، نفّذ
bin/installto.shمع إعطائه مجلد التثبيت القائم. ينسخ السكربت أولاً الملفات المحدثة ثم يشغّل سكربت التحديث الذي ينقل الإعدادات المحلية ويحدّث بنية قاعدة البيانات عند الحاجة.تثبيت الاعتماديات عند الحاجة
إذا لم تنزّل الأرشيف الكامل، تطلب الوثائق تنفيذ
php composer.phar install --no-devفي مجلد التثبيت مع Composer بالإصدار 1.1.0 أو أحدث.تطبيق قاعدة البيانات يدوياً عند الحاجة
إذا لم يُحدّث السكربت بنية القاعدة، فإن
bin/updatedb.shيطبق تغييرات قاعدة البيانات. اقرأ قسم التحديث اليدوي في ملف UPGRADING الخاص بـ Roundcube قبل تشغيله.بريد ويب مقدم من cPanel
يقدم اللوحة بريد الويب، وتحديثه يتبع تحديث cPanel. لا نؤكد هنا أي موعد لإدراج هذا الإصلاح. لدى العميل، اقرأ الإصدار في واجهة Roundcube ضمن معلومات التطبيق بعد كل تحديث للوحة، وسجّله في جدول المتابعة. وإذا لم يكن الإصدار المعروض مصلحاً فأبلغ دعم شركة الاستضافة.
التحقق من أن الإصلاح مطبق فعلاً
التحديث الذي لا يُظهر أي خطأ ليس تحديثاً تم التحقق منه. تحقق من الإصدار المعروض الذي يجب أن يطابق 1.6.20 أو 1.7.5 للأرشيف، أو رقم الحزمة للتوزيعة. وفي Debian تحقق أيضاً من أن سجل الحزمة يذكر النشرة DSA-6579-1.
ثم اختبر دورة كاملة على حساب تجريبي: تسجيل الدخول، وقراءة رسالة، والإرسال، والرد، والوسم. وأخيراً راجع سجل أخطاء بريد الويب وخادم الويب: الخطأ الذي يظهر مباشرة بعد تغيير الإصدار يشير عادة إلى إضافة أو ملف إعدادات يجب ترحيله.
تقوية دائمة دون تقديمها كحل بديل
لا تحل هذه الإجراءات محل التحديث: إنها تقلل السطح المكشوف للثغرات القادمة. عطّل الإضافات غير اللازمة، وخصوصاً إضافة تغيير كلمة المرور (password) عندما لا يحتاجها العملاء، لأن ثغرتين من المصلحة تمسان مشغّلاتها. قلل تعرض بريد الويب إلى الحد اللازم، واحتفظ بسجلات خادم الويب وRoundcube.
البحث عن آثار الاستغلال
تُفعَّل ثغرات الحقن بطلبات يحتوي أحد معاملاتها على سطر جديد. كمؤشر، ابحث في سجلات خادم الويب عن طلبات إلى بريد الويب تحتوي معاملاتها _uid أو _flag على أسطر جديدة مرمّزة (%0d%0a)، وابحث عن رسائل صادرة غير معتادة من الصناديق المعنية. غياب الآثار ليس دليلاً: السجلات تغطي فقط ما تسجله. حدّث أولاً ثم حقّق لاحقاً إذا أظهر حساب عميل سلوكاً غير طبيعي.
الوثائق الرسمية
تأتي الوقائع في هذا الدليل من مصادر أولية يجب قراءتها قبل التنفيذ: إعلان Roundcube على https://roundcube.net/news/2026/10/19/security-updates-1.6.20-and-1.7.5 ، وملاحظات الإصدار 1.6.20 على https://github.com/roundcube/roundcubemail/releases/tag/1.6.20 والإصدار 1.7.5 على https://github.com/roundcube/roundcubemail/releases/tag/1.7.5 ، ونشرة Debian DSA-6579-1 على https://lists.debian.org/debian-security-announce/2026/msg00495.html ، وإجراء التحديث على https://github.com/roundcube/roundcubemail/wiki/Upgrade .
