[{"data":1,"prerenderedAt":200},["ShallowReactive",2],{"seo-verification":3,"blog-roundcube-1-7-5-1-6-20-correctifs-webmail-agence-fr":6},{"google":4,"bing":5},"EycwPY2XMyTkVzas3n1ygeNJFGAH513qrMjfDljzsMQ","",{"key":7,"data":8},"blog-roundcube-1-7-5-1-6-20-correctifs-webmail-agence-fr",{"id":9,"slug":10,"slugs":11,"title":15,"excerpt":16,"readTime":17,"views":18,"isPinned":19,"publishedAt":20,"updatedAt":21,"category":22,"categories":27,"featuredImage":29,"bgImage":30,"posterImage":31,"relatedSolution":29,"intro":32,"sections":33,"ctaTitle":142,"ctaBody":143,"ctaButton":144,"ctaUrl":145,"relatedPosts":146},512,"roundcube-1-7-5-1-6-20-correctifs-webmail-agence",{"fr":10,"en":12,"ar":13,"es":14},"roundcube-1-7-5-and-1-6-20-patch-20-webmail-flaws","roundcube-1-7-5-و1-6-20-إصلاح-20-ثغرة-في-البريد","roundcube-1-7-5-y-1-6-20-corregir-20-fallos-del-webmail","Roundcube 1.7.5 et 1.6.20 : corriger 20 failles du webmail","Roundcube 1.7.5 et 1.6.20 corrigent 20 failles. Inventoriez les versions de vos comptes clients, mettez à jour par branche et vérifiez que le correctif est actif.",8,0,false,"2026-10-27T00:00:00+00:00","2026-10-27T23:58:39+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":25},11,"E-mail professionnel","emails","bg-cyan-500\u002F10 text-cyan-400",[28],{"id":23,"name":24,"slug":25,"color":26,"icon":25},null,"\u002Fblog\u002Fcovers\u002Fbg.svg","\u002Fblog\u002Fcovers\u002Froundcube-1-7-5-1-6-20-correctifs-webmail-agence-poster.svg","Roundcube a publié le 19 octobre 2026 les versions 1.6.20 et 1.7.5, qui corrigent 20 failles de sécurité du webmail : injections de commandes IMAP, injections d'en-têtes, XSS, contournements du blocage de contenu distant. Debian a suivi le 23 octobre 2026 avec l'avis DSA-6579-1. Aucun contournement n'est proposé : seule la mise à jour corrige. Le vrai travail n'est pas d'installer le correctif : c'est de savoir quelle version tourne chez chaque client et si le correctif est réellement présent. Ce guide donne la méthode : inventorier, mettre à jour selon la branche, puis vérifier.",[34,38,49,81,84,103,106,129,132,136,139],{"type":35,"title":36,"body":37},"h2","Ce qui a été publié, et ce qu'il faut en retenir","Le projet Roundcube a annoncé, le 19 octobre 2026, une mise à jour de sécurité de ses deux branches maintenues : la 1.6 (LTS) passe en 1.6.20 et la 1.7 passe en 1.7.5. L'annonce recommande de mettre à jour toutes les installations de production, et ne propose aucun contournement. Les notes de version précisent de sauvegarder ses données avant de procéder.\n\nL'annonce de Roundcube ne cite aucun identifiant CVE. Debian, de son côté, a publié le 23 octobre 2026 l'avis DSA-6579-1, qui regroupe 20 CVE sans les rattacher une à une aux correctifs. Les sites tiers divergent sur ces identifiants : pour cette raison, ce guide n'en cite aucun et renvoie aux sources primaires listées en fin d'article.",{"type":39,"title":40,"items":41},"ul","Les classes de failles corrigées",[42,43,44,45,46,47,48],"**Injection de commandes IMAP** — un retour à la ligne glissé dans les paramètres `_uid` (actions d'en-têtes et d'affichage de la source) ou `_flag` (action de marquage) permettait d'injecter des commandes vers le serveur IMAP.","**Injection d'en-têtes de message** — nom d'expéditeur de l'action de renvoi, en-têtes `References`, `In-Reply-To` et `Message-ID`, sujet d'un message transféré en pièce jointe, type de média d'une image en ligne.","**Injection d'objet de session** — la désérialisation de la session acceptait des clés préfixées par un point d'exclamation.","**XSS** — la réponse d'erreur d'un pilote de changement de mot de passe était mal traitée à l'affichage.","**Contournements du blocage de contenu distant** — attribut SVG SMIL `by`, séquences d'échappement CSS, portée CSS contournée par les at-rules.","**SSRF et réglages contournés** — le filtre d'adresses locales ignorait la plage NAT64 `64:ff9b::\u002F96`, et d'anciens alias d'actions échappaient au réglage `disabled_actions`.","**Pilotes et imports** — le pilote de mot de passe Modoboa pouvait changer le mot de passe d'un autre compte, et l'import SquirrelMail utilisait un nom de connexion non assaini dans un chemin de fichier.",{"type":50,"title":51,"headers":52,"rows":56},"comparison","Quelle version viser selon votre installation",[53,54,55],"Installation","Version corrigée","À retenir",[57,61,65,69,73,77],[58,59,60],"Roundcube 1.6.x (archive officielle)","1.6.20","Branche LTS : rester en 1.6 et passer en 1.6.20",[62,63,64],"Roundcube 1.7.x (archive officielle)","1.7.5","Passer en 1.7.5, sans changer de branche",[66,67,68],"Debian 13 (trixie)","1.6.20+dfsg-0+deb13u1","Version du paquet citée par l'avis DSA-6579-1",[70,71,72],"Autres versions de Debian","Voir l'avis et le suivi de sécurité Debian","L'avis ne liste que trixie : lisez le suivi du paquet pour votre suite",[74,75,76],"Webmail fourni par cPanel","Selon la mise à jour du panneau","Suit les mises à jour de cPanel : pas de date de reprise affirmée ici",[78,79,80],"Autre panneau ou distribution","Selon l'éditeur","Lire le journal des modifications du paquet, pas le seul numéro",{"type":35,"title":82,"body":83},"Pourquoi le numéro de version ne suffit pas","Un webmail s'installe de trois façons : par l'archive officielle copiée à la main, par le paquet de la distribution, ou par le panneau d'hébergement. Chacune se met à jour différemment, et les deux dernières posent un piège : le correctif peut être rétroporté dans une version ancienne dont le numéro ne change pas, ou n'avoir pas encore été repris.\n\nUne agence qui gère des dizaines de comptes cumule donc plusieurs sources de vérité. Avant de mettre à jour, il faut un inventaire : pour chaque client, où est installé le webmail, par quel canal il est livré, et quelle version il affiche réellement.",{"type":85,"title":86,"steps":87},"steps","Inventorier les versions de Roundcube",[88,91,94,97,100],{"title":89,"body":90},"Lister les serveurs et le canal de livraison","Notez pour chaque serveur si Roundcube vient du paquet de la distribution, d'une archive déposée à la main ou du panneau d'hébergement. Ce canal décide de la méthode de mise à jour.",{"title":92,"body":93},"Lire la version d'un paquet Debian ou Ubuntu","Sur une machine qui utilise le paquet de la distribution : `dpkg -l roundcube-core` donne la version installée, et `apt-cache policy roundcube-core` montre la version candidate dans vos dépôts.",{"title":95,"body":96},"Lire le journal des modifications du paquet","Sur Debian, le numéro peut rester identique quand un correctif est rétroporté. Lisez donc le journal du paquet avec `apt changelog roundcube-core` et cherchez la mention de l'avis DSA-6579-1, plutôt que de vous fier à la seule version affichée.",{"title":98,"body":99},"Relever la version d'une installation manuelle","Pour une archive installée à la main, la version est visible dans l'interface de Roundcube, dans les informations de l'application. Consignez-la dans votre tableau de suivi, avec le chemin du répertoire d'installation, qui sera réutilisé à l'étape de mise à jour.",{"title":101,"body":102},"Consigner le résultat par client","Une ligne par compte : serveur, canal, version relevée, version cible, date de passage. Ce tableau devient la preuve que le correctif a été appliqué partout, et la liste de reprise pour les comptes qui restent en retard.",{"type":35,"title":104,"body":105},"Mettre à jour selon le canal de livraison","La règle reste la même pour tous les canaux : viser 1.6.20 pour la branche 1.6 et 1.7.5 pour la branche 1.7, après une sauvegarde. Pour un paquet de distribution, la mise à jour passe par le gestionnaire de paquets. Pour une archive officielle, elle passe par le script `installto.sh` fourni avec Roundcube. Pour un webmail livré par un panneau, la mise à jour suit celle du panneau.",{"type":85,"title":107,"steps":108},"Mettre à jour une installation",[109,112,115,118,121,124,127],{"title":110,"body":111},"Sauvegarder le répertoire et la base","Copiez le répertoire de Roundcube et exportez la base de données (schéma et données) dans un endroit sûr. Les notes de version demandent explicitement cette sauvegarde avant toute mise à jour.",{"title":113,"body":114},"Paquet Debian ou Ubuntu","Lancez `apt update`, puis `apt install --only-upgrade roundcube-core`. Contrôlez ensuite la version avec `dpkg -l roundcube-core` et le journal du paquet.",{"title":116,"body":117},"Archive officielle : télécharger la release","Téléchargez l'archive de la version cible depuis la page de téléchargement de Roundcube, puis décompressez-la dans un répertoire de travail, hors de l'installation en production.",{"title":119,"body":120},"Archive officielle : lancer le script de mise à jour","Depuis le répertoire décompressé, exécutez `bin\u002Finstallto.sh` en lui donnant le répertoire de l'installation existante. Le script copie d'abord les fichiers mis à jour, puis lance le script de mise à jour, qui migre la configuration locale et met à jour le schéma de base de données si nécessaire.",{"title":122,"body":123},"Installer les dépendances si besoin","Si vous n'avez pas téléchargé l'archive dite complète, la documentation demande d'exécuter `php composer.phar install --no-dev` dans le répertoire de l'installation avec Composer 1.1.0 ou plus.",{"title":125,"body":126},"Appliquer la base manuellement si nécessaire","Si le schéma n'a pas été migré par le script, `bin\u002Fupdatedb.sh` applique les évolutions de base de données. Consultez la section de mise à jour manuelle du fichier UPGRADING de Roundcube avant de le lancer.",{"title":74,"body":128},"Le webmail est livré par le panneau : sa mise à jour suit celle de cPanel. Aucune date de reprise de ce correctif n'est affirmée ici. Chez un client, lisez la version dans l'interface de Roundcube, dans les informations de l'application, après chaque mise à jour du panneau, et consignez-la dans le tableau de suivi. Si la version affichée n'est pas corrigée, signalez-le au support de l'hébergeur.",{"type":35,"title":130,"body":131},"Vérifier que le correctif est réellement en place","Une mise à jour qui ne produit aucune erreur n'est pas une mise à jour vérifiée. Contrôlez la version affichée, qui doit correspondre à 1.6.20 ou 1.7.5 pour une archive, ou au numéro du paquet pour une distribution. Sur Debian, vérifiez en plus que le journal du paquet mentionne l'avis DSA-6579-1.\n\nTestez ensuite un cycle complet sur un compte de test : connexion, lecture d'un message, envoi, réponse, marquage. Parcourez enfin le journal d'erreurs du webmail et du serveur web : une erreur qui apparaît juste après le passage de version pointe en général un plugin ou un fichier de configuration à migrer.",{"type":133,"title":134,"body":135},"tip","Durcissement durable, sans le présenter comme un contournement","Ces mesures ne remplacent pas la mise à jour : elles réduisent la surface pour les prochaines. Désactivez les plugins inutiles, en particulier le plugin de changement de mot de passe (`password`) quand les clients n'en ont pas l'usage, puisque deux des failles corrigées touchaient ses pilotes. Limitez l'exposition du webmail à ce qui est nécessaire, et conservez les journaux du serveur web et de Roundcube.",{"type":35,"title":137,"body":138},"Chercher des traces d'exploitation","Les failles d'injection se déclenchent par des requêtes dont un paramètre contient un retour à la ligne. À titre d'indice, cherchez dans les journaux du serveur web des requêtes sur le webmail dont les paramètres `_uid` ou `_flag` contiennent des retours à la ligne encodés (`%0d%0a`), et repérez les envois de messages inhabituels depuis les boîtes concernées. L'absence de trace n'est pas une preuve : les journaux ne couvrent que ce qu'ils enregistrent. Mettez à jour d'abord, enquêtez ensuite si un compte client montre un comportement anormal.",{"type":35,"title":140,"body":141},"La documentation officielle","Les faits de ce guide viennent de sources primaires, à lire avant d'agir : l'annonce de Roundcube sur https:\u002F\u002Froundcube.net\u002Fnews\u002F2026\u002F10\u002F19\u002Fsecurity-updates-1.6.20-and-1.7.5, les notes de version de la 1.6.20 sur https:\u002F\u002Fgithub.com\u002Froundcube\u002Froundcubemail\u002Freleases\u002Ftag\u002F1.6.20 et de la 1.7.5 sur https:\u002F\u002Fgithub.com\u002Froundcube\u002Froundcubemail\u002Freleases\u002Ftag\u002F1.7.5, l'avis Debian DSA-6579-1 sur https:\u002F\u002Flists.debian.org\u002Fdebian-security-announce\u002F2026\u002Fmsg00495.html, et la procédure de mise à jour sur https:\u002F\u002Fgithub.com\u002Froundcube\u002Froundcubemail\u002Fwiki\u002FUpgrade.","Une vue unique sur les comptes de messagerie de vos clients","Sur l'hébergement revendeur ServOrbit.com, le webmail suit les mises à jour du panneau. Vous gardez la relation avec vos clients et le suivi de leurs boîtes ; nous tenons l'infrastructure.","Découvrir l'offre agences","\u002Fsolutions\u002Fagences",[147,163,179],{"id":148,"slug":149,"slugs":150,"title":154,"excerpt":155,"readTime":156,"views":18,"isPinned":19,"publishedAt":157,"updatedAt":158,"category":159,"categories":160,"featuredImage":29,"bgImage":30,"posterImage":162,"relatedSolution":29},459,"serveur-email-self-hosted-comparatif-vps-2026",{"fr":149,"en":151,"ar":152,"es":153},"self-hosted-email-server-on-vps-comparison-2026","مقارنة-خوادم-البريد-self-hosted-على-vps-2026","comparativa-servidores-email-self-hosted-en-vps-2026","Serveur email self-hosted sur VPS : comparatif 2026","Stalwart, Mailcow ou Postfix+Dovecot : comparez RAM, complexité et périmètre anti-spam pour choisir le serveur email adapté à votre VPS en moins de 10 minutes.",10,"2026-10-16T00:00:00+00:00","2026-10-18T21:57:56+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":25},[161],{"id":23,"name":24,"slug":25,"color":26,"icon":25},"\u002Fblog\u002Fcovers\u002Fserveur-email-self-hosted-comparatif-vps-2026-poster.svg",{"id":164,"slug":165,"slugs":166,"title":170,"excerpt":171,"readTime":172,"views":18,"isPinned":19,"publishedAt":173,"updatedAt":174,"category":175,"categories":176,"featuredImage":29,"bgImage":30,"posterImage":178,"relatedSolution":29},199,"spf-dkim-dmarc-delivrabilite-emails-pro",{"fr":165,"en":167,"ar":168,"es":169},"spf-dkim-dmarc-passing-the-5000-email-threshold","spf-وdkim-وdmarc-تجاوز-عتبة-5000-رسالة","spf-dkim-dmarc-superar-el-umbral-de-5000-correos","SPF, DKIM, DMARC : passer le seuil des 5 000 e-mails","Gmail et Outlook rejettent en SMTP 550 les expéditeurs sans DMARC aligné. Comment configurer SPF, DKIM et DMARC pour franchir le seuil.",4,"2026-08-01T00:00:00+00:00","2026-09-07T11:26:10+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":25},[177],{"id":23,"name":24,"slug":25,"color":26,"icon":25},"\u002Fblog\u002Fcovers\u002Fspf-dkim-dmarc-delivrabilite-emails-pro-poster.svg",{"id":180,"slug":181,"slugs":182,"title":186,"excerpt":187,"readTime":188,"views":189,"isPinned":19,"publishedAt":190,"updatedAt":191,"category":192,"categories":197,"featuredImage":29,"bgImage":30,"posterImage":199,"relatedSolution":29},489,"php2shell-cve-2026-109618-109619-mettre-a-jour-php",{"fr":181,"en":183,"ar":184,"es":185},"php2shell-cve-2026-109618-109619-patch-php","php2shell-cve-2026-109618-109619-تحديث-php","php2shell-cve-2026-109618-109619-actualizar-php","PHP2Shell : corriger CVE-2026-109618 et CVE-2026-109619","PHP2Shell : deux failles critiques de PHP exploitables sans compte. Versions corrigées, commandes de mise à jour par système et parades temporaires.",16,1,"2026-10-22T00:00:00+00:00","2026-10-27T23:58:43+00:00",{"id":17,"name":193,"slug":194,"color":195,"icon":196},"Sécurité & Monitoring","securite-monitoring","bg-rose-500\u002F10 text-rose-400","security",[198],{"id":17,"name":193,"slug":194,"color":195,"icon":196},"\u002Fblog\u002Fcovers\u002Fphp2shell-cve-2026-109618-109619-mettre-a-jour-php-poster.svg",1793145944411]