Ce qui a été publié, et ce qu'il faut en retenir
Le projet Roundcube a annoncé, le 19 octobre 2026, une mise à jour de sécurité de ses deux branches maintenues : la 1.6 (LTS) passe en 1.6.20 et la 1.7 passe en 1.7.5. L'annonce recommande de mettre à jour toutes les installations de production, et ne propose aucun contournement. Les notes de version précisent de sauvegarder ses données avant de procéder.
L'annonce de Roundcube ne cite aucun identifiant CVE. Debian, de son côté, a publié le 23 octobre 2026 l'avis DSA-6579-1, qui regroupe 20 CVE sans les rattacher une à une aux correctifs. Les sites tiers divergent sur ces identifiants : pour cette raison, ce guide n'en cite aucun et renvoie aux sources primaires listées en fin d'article.
Les classes de failles corrigées
- Injection de commandes IMAP — un retour à la ligne glissé dans les paramètres
_uid(actions d'en-têtes et d'affichage de la source) ou_flag(action de marquage) permettait d'injecter des commandes vers le serveur IMAP. - Injection d'en-têtes de message — nom d'expéditeur de l'action de renvoi, en-têtes
References,In-Reply-ToetMessage-ID, sujet d'un message transféré en pièce jointe, type de média d'une image en ligne. - Injection d'objet de session — la désérialisation de la session acceptait des clés préfixées par un point d'exclamation.
- XSS — la réponse d'erreur d'un pilote de changement de mot de passe était mal traitée à l'affichage.
- Contournements du blocage de contenu distant — attribut SVG SMIL
by, séquences d'échappement CSS, portée CSS contournée par les at-rules. - SSRF et réglages contournés — le filtre d'adresses locales ignorait la plage NAT64
64:ff9b::/96, et d'anciens alias d'actions échappaient au réglagedisabled_actions. - Pilotes et imports — le pilote de mot de passe Modoboa pouvait changer le mot de passe d'un autre compte, et l'import SquirrelMail utilisait un nom de connexion non assaini dans un chemin de fichier.
Quelle version viser selon votre installation
Faites défiler le tableau
| Installation | Version corrigée | À retenir |
|---|---|---|
| Roundcube 1.6.x (archive officielle) | 1.6.20 | Branche LTS : rester en 1.6 et passer en 1.6.20 |
| Roundcube 1.7.x (archive officielle) | 1.7.5 | Passer en 1.7.5, sans changer de branche |
| Debian 13 (trixie) | 1.6.20+dfsg-0+deb13u1 | Version du paquet citée par l'avis DSA-6579-1 |
| Autres versions de Debian | Voir l'avis et le suivi de sécurité Debian | L'avis ne liste que trixie : lisez le suivi du paquet pour votre suite |
| Webmail fourni par cPanel | Selon la mise à jour du panneau | Suit les mises à jour de cPanel : pas de date de reprise affirmée ici |
| Autre panneau ou distribution | Selon l'éditeur | Lire le journal des modifications du paquet, pas le seul numéro |
Pourquoi le numéro de version ne suffit pas
Un webmail s'installe de trois façons : par l'archive officielle copiée à la main, par le paquet de la distribution, ou par le panneau d'hébergement. Chacune se met à jour différemment, et les deux dernières posent un piège : le correctif peut être rétroporté dans une version ancienne dont le numéro ne change pas, ou n'avoir pas encore été repris.
Une agence qui gère des dizaines de comptes cumule donc plusieurs sources de vérité. Avant de mettre à jour, il faut un inventaire : pour chaque client, où est installé le webmail, par quel canal il est livré, et quelle version il affiche réellement.
Inventorier les versions de Roundcube
Lister les serveurs et le canal de livraison
Notez pour chaque serveur si Roundcube vient du paquet de la distribution, d'une archive déposée à la main ou du panneau d'hébergement. Ce canal décide de la méthode de mise à jour.
Lire la version d'un paquet Debian ou Ubuntu
Sur une machine qui utilise le paquet de la distribution :
dpkg -l roundcube-coredonne la version installée, etapt-cache policy roundcube-coremontre la version candidate dans vos dépôts.Lire le journal des modifications du paquet
Sur Debian, le numéro peut rester identique quand un correctif est rétroporté. Lisez donc le journal du paquet avec
apt changelog roundcube-coreet cherchez la mention de l'avis DSA-6579-1, plutôt que de vous fier à la seule version affichée.Relever la version d'une installation manuelle
Pour une archive installée à la main, la version est visible dans l'interface de Roundcube, dans les informations de l'application. Consignez-la dans votre tableau de suivi, avec le chemin du répertoire d'installation, qui sera réutilisé à l'étape de mise à jour.
Consigner le résultat par client
Une ligne par compte : serveur, canal, version relevée, version cible, date de passage. Ce tableau devient la preuve que le correctif a été appliqué partout, et la liste de reprise pour les comptes qui restent en retard.
Mettre à jour selon le canal de livraison
La règle reste la même pour tous les canaux : viser 1.6.20 pour la branche 1.6 et 1.7.5 pour la branche 1.7, après une sauvegarde. Pour un paquet de distribution, la mise à jour passe par le gestionnaire de paquets. Pour une archive officielle, elle passe par le script installto.sh fourni avec Roundcube. Pour un webmail livré par un panneau, la mise à jour suit celle du panneau.
Mettre à jour une installation
Sauvegarder le répertoire et la base
Copiez le répertoire de Roundcube et exportez la base de données (schéma et données) dans un endroit sûr. Les notes de version demandent explicitement cette sauvegarde avant toute mise à jour.
Paquet Debian ou Ubuntu
Lancez
apt update, puisapt install --only-upgrade roundcube-core. Contrôlez ensuite la version avecdpkg -l roundcube-coreet le journal du paquet.Archive officielle : télécharger la release
Téléchargez l'archive de la version cible depuis la page de téléchargement de Roundcube, puis décompressez-la dans un répertoire de travail, hors de l'installation en production.
Archive officielle : lancer le script de mise à jour
Depuis le répertoire décompressé, exécutez
bin/installto.shen lui donnant le répertoire de l'installation existante. Le script copie d'abord les fichiers mis à jour, puis lance le script de mise à jour, qui migre la configuration locale et met à jour le schéma de base de données si nécessaire.Installer les dépendances si besoin
Si vous n'avez pas téléchargé l'archive dite complète, la documentation demande d'exécuter
php composer.phar install --no-devdans le répertoire de l'installation avec Composer 1.1.0 ou plus.Appliquer la base manuellement si nécessaire
Si le schéma n'a pas été migré par le script,
bin/updatedb.shapplique les évolutions de base de données. Consultez la section de mise à jour manuelle du fichier UPGRADING de Roundcube avant de le lancer.Webmail fourni par cPanel
Le webmail est livré par le panneau : sa mise à jour suit celle de cPanel. Aucune date de reprise de ce correctif n'est affirmée ici. Chez un client, lisez la version dans l'interface de Roundcube, dans les informations de l'application, après chaque mise à jour du panneau, et consignez-la dans le tableau de suivi. Si la version affichée n'est pas corrigée, signalez-le au support de l'hébergeur.
Vérifier que le correctif est réellement en place
Une mise à jour qui ne produit aucune erreur n'est pas une mise à jour vérifiée. Contrôlez la version affichée, qui doit correspondre à 1.6.20 ou 1.7.5 pour une archive, ou au numéro du paquet pour une distribution. Sur Debian, vérifiez en plus que le journal du paquet mentionne l'avis DSA-6579-1.
Testez ensuite un cycle complet sur un compte de test : connexion, lecture d'un message, envoi, réponse, marquage. Parcourez enfin le journal d'erreurs du webmail et du serveur web : une erreur qui apparaît juste après le passage de version pointe en général un plugin ou un fichier de configuration à migrer.
Durcissement durable, sans le présenter comme un contournement
Ces mesures ne remplacent pas la mise à jour : elles réduisent la surface pour les prochaines. Désactivez les plugins inutiles, en particulier le plugin de changement de mot de passe (password) quand les clients n'en ont pas l'usage, puisque deux des failles corrigées touchaient ses pilotes. Limitez l'exposition du webmail à ce qui est nécessaire, et conservez les journaux du serveur web et de Roundcube.
Chercher des traces d'exploitation
Les failles d'injection se déclenchent par des requêtes dont un paramètre contient un retour à la ligne. À titre d'indice, cherchez dans les journaux du serveur web des requêtes sur le webmail dont les paramètres _uid ou _flag contiennent des retours à la ligne encodés (%0d%0a), et repérez les envois de messages inhabituels depuis les boîtes concernées. L'absence de trace n'est pas une preuve : les journaux ne couvrent que ce qu'ils enregistrent. Mettez à jour d'abord, enquêtez ensuite si un compte client montre un comportement anormal.
La documentation officielle
Les faits de ce guide viennent de sources primaires, à lire avant d'agir : l'annonce de Roundcube sur https://roundcube.net/news/2026/10/19/security-updates-1.6.20-and-1.7.5, les notes de version de la 1.6.20 sur https://github.com/roundcube/roundcubemail/releases/tag/1.6.20 et de la 1.7.5 sur https://github.com/roundcube/roundcubemail/releases/tag/1.7.5, l'avis Debian DSA-6579-1 sur https://lists.debian.org/debian-security-announce/2026/msg00495.html, et la procédure de mise à jour sur https://github.com/roundcube/roundcubemail/wiki/Upgrade.
