Qué se publicó y qué conviene recordar
El 19 de octubre de 2026 el proyecto Roundcube anunció una actualización de seguridad de sus dos ramas mantenidas: la 1.6 (LTS) pasa a 1.6.20 y la 1.7 pasa a 1.7.5. El anuncio recomienda actualizar todas las instalaciones de producción y no ofrece ninguna solución alternativa. Las notas de versión piden hacer una copia de seguridad antes de actualizar.
El anuncio de Roundcube no cita ningún identificador CVE. Debian publicó el 23 de octubre de 2026 el aviso DSA-6579-1, que agrupa 20 CVE sin asignarlos uno a uno a las correcciones. Los sitios de terceros discrepan sobre esos identificadores: por eso esta guía no cita ninguno y remite a las fuentes primarias del final.
Las clases de fallos corregidos
- Inyección de comandos IMAP — un salto de línea en los parámetros
_uid(acciones de cabeceras y de código fuente) o_flag(acción de marcado) permitía inyectar comandos hacia el servidor IMAP. - Inyección de cabeceras de mensaje — nombre del remitente en la acción de reenvío, cabeceras
References,In-Reply-ToyMessage-ID, asunto de un mensaje reenviado como adjunto, tipo de medio de una imagen en línea. - Inyección de objetos de sesión — la deserialización de la sesión aceptaba claves con prefijo de signo de exclamación.
- XSS — la respuesta de error de un controlador de cambio de contraseña se trataba mal al mostrarse.
- Evasiones del bloqueo de contenido remoto — atributo SVG SMIL
by, secuencias de escape CSS, ámbito CSS evadido mediante at-rules. - SSRF y ajustes evadidos — el filtro de direcciones locales ignoraba el rango NAT64
64:ff9b::/96, y antiguos alias de acciones escapaban al ajustedisabled_actions. - Controladores e importaciones — el controlador de contraseñas Modoboa podía cambiar la contraseña de otra cuenta, y la importación de SquirrelMail usaba un nombre de usuario sin sanear en una ruta de archivo.
Qué versión elegir según su instalación
Desplace la tabla
| Instalación | Versión corregida | A recordar |
|---|---|---|
| Roundcube 1.6.x (archivo oficial) | 1.6.20 | Rama LTS: seguir en 1.6 y pasar a 1.6.20 |
| Roundcube 1.7.x (archivo oficial) | 1.7.5 | Pasar a 1.7.5 sin cambiar de rama |
| Debian 13 (trixie) | 1.6.20+dfsg-0+deb13u1 | Versión del paquete citada por el aviso DSA-6579-1 |
| Otras versiones de Debian | Consulte el aviso y el seguimiento de seguridad de Debian | El aviso solo lista trixie: lea el seguimiento del paquete para su versión |
| Webmail proporcionado por cPanel | Según la actualización del panel | Sigue las actualizaciones de cPanel: aquí no se afirma ninguna fecha |
| Otro panel o distribución | Según el editor | Leer el registro de cambios del paquete, no solo el número |
Por qué el número de versión no basta
Un webmail se instala de tres maneras: con el archivo oficial copiado a mano, con el paquete de la distribución o mediante el panel de alojamiento. Cada una se actualiza de forma distinta, y las dos últimas tienen una trampa: la corrección puede haberse retroportado a una versión antigua cuyo número no cambia, o no haberse incorporado todavía.
Una agencia que gestiona decenas de cuentas acumula varias fuentes de verdad. Antes de actualizar hace falta un inventario: para cada cliente, dónde está instalado el webmail, por qué canal se entrega y qué versión muestra realmente.
Inventariar las versiones de Roundcube
Listar los servidores y el canal de entrega
Anote para cada servidor si Roundcube procede del paquete de la distribución, de un archivo copiado a mano o del panel de alojamiento. Ese canal decide el método de actualización.
Leer la versión de un paquete Debian o Ubuntu
En una máquina que usa el paquete de la distribución:
dpkg -l roundcube-coreda la versión instalada, yapt-cache policy roundcube-coremuestra la versión candidata en sus repositorios.Leer el registro de cambios del paquete
En Debian el número puede seguir igual cuando se retroporta una corrección. Lea el registro del paquete con
apt changelog roundcube-corey busque la mención del aviso DSA-6579-1, en lugar de fiarse solo de la versión mostrada.Anotar la versión de una instalación manual
Para un archivo instalado a mano, la versión es visible en la interfaz de Roundcube, en la información de la aplicación. Regístrela en su tabla de seguimiento junto con la ruta del directorio de instalación, que se reutilizará en el paso de actualización.
Registrar el resultado por cliente
Una línea por cuenta: servidor, canal, versión encontrada, versión objetivo, fecha de actualización. Esta tabla pasa a ser la prueba de que la corrección se aplicó en todas partes, y la lista de seguimiento de las cuentas rezagadas.
Actualizar según el canal de entrega
La regla es la misma para todos los canales: apuntar a 1.6.20 para la rama 1.6 y a 1.7.5 para la rama 1.7, tras una copia de seguridad. Para un paquete de distribución, la actualización pasa por el gestor de paquetes. Para un archivo oficial, pasa por el script installto.sh incluido con Roundcube. Para un webmail entregado por un panel, la actualización sigue la del panel.
Actualizar una instalación
Copiar el directorio y la base de datos
Copie el directorio de Roundcube y exporte la base de datos (esquema y datos) a un lugar seguro. Las notas de versión piden explícitamente esta copia antes de cualquier actualización.
Paquete Debian o Ubuntu
Ejecute
apt updatey despuésapt install --only-upgrade roundcube-core. A continuación compruebe la versión condpkg -l roundcube-corey el registro del paquete.Archivo oficial: descargar la versión
Descargue el archivo de la versión objetivo desde la página de descargas de Roundcube y descomprímalo en un directorio de trabajo, fuera de la instalación en producción.
Archivo oficial: ejecutar el script de actualización
Desde el directorio descomprimido, ejecute
bin/installto.shindicando el directorio de la instalación existente. El script copia primero los archivos actualizados y luego lanza el script de actualización, que migra la configuración local y actualiza el esquema de la base de datos si es necesario.Instalar las dependencias si hace falta
Si no descargó el archivo llamado completo, la documentación pide ejecutar
php composer.phar install --no-deven el directorio de la instalación con Composer 1.1.0 o superior.Aplicar la base de datos manualmente si es necesario
Si el script no migró el esquema,
bin/updatedb.shaplica los cambios de la base de datos. Lea la sección de actualización manual del archivo UPGRADING de Roundcube antes de ejecutarlo.Webmail proporcionado por cPanel
El webmail lo entrega el panel: su actualización sigue la de cPanel. Aquí no se afirma ninguna fecha para esta corrección. En un cliente, lea la versión en la interfaz de Roundcube, en la información de la aplicación, tras cada actualización del panel, y regístrela en la tabla de seguimiento. Si la versión mostrada no es una corregida, comuníquelo al soporte del proveedor de alojamiento.
Comprobar que la corrección está realmente aplicada
Una actualización que no produce errores no es una actualización verificada. Compruebe la versión mostrada, que debe corresponder a 1.6.20 o 1.7.5 para un archivo, o al número del paquete para una distribución. En Debian, compruebe además que el registro del paquete menciona el aviso DSA-6579-1.
Pruebe después un ciclo completo con una cuenta de prueba: inicio de sesión, lectura de un mensaje, envío, respuesta, marcado. Revise por último el registro de errores del webmail y del servidor web: un error que aparece justo tras el cambio de versión suele señalar un complemento o un archivo de configuración por migrar.
Refuerzo duradero, sin presentarlo como solución alternativa
Estas medidas no sustituyen la actualización: reducen la superficie para las próximas. Desactive los complementos innecesarios, en particular el de cambio de contraseña (password) cuando los clientes no lo usan, ya que dos de los fallos corregidos afectaban a sus controladores. Limite la exposición del webmail a lo necesario y conserve los registros del servidor web y de Roundcube.
Buscar rastros de explotación
Los fallos de inyección se activan con peticiones cuyo parámetro contiene un salto de línea. Como indicio, busque en los registros del servidor web peticiones al webmail cuyos parámetros _uid o _flag contengan saltos de línea codificados (%0d%0a), y busque envíos de mensajes inusuales desde los buzones afectados. La ausencia de rastros no es una prueba: los registros solo cubren lo que registran. Actualice primero e investigue después si una cuenta de cliente muestra un comportamiento anormal.
La documentación oficial
Los hechos de esta guía proceden de fuentes primarias, que conviene leer antes de actuar: el anuncio de Roundcube en https://roundcube.net/news/2026/10/19/security-updates-1.6.20-and-1.7.5, las notas de la 1.6.20 en https://github.com/roundcube/roundcubemail/releases/tag/1.6.20 y de la 1.7.5 en https://github.com/roundcube/roundcubemail/releases/tag/1.7.5, el aviso de Debian DSA-6579-1 en https://lists.debian.org/debian-security-announce/2026/msg00495.html y el procedimiento de actualización en https://github.com/roundcube/roundcubemail/wiki/Upgrade.
