[{"data":1,"prerenderedAt":200},["ShallowReactive",2],{"seo-verification":3,"blog-roundcube-1-7-5-y-1-6-20-corregir-20-fallos-del-webmail-es":6},{"google":4,"bing":5},"EycwPY2XMyTkVzas3n1ygeNJFGAH513qrMjfDljzsMQ","",{"key":7,"data":8},"blog-roundcube-1-7-5-y-1-6-20-corregir-20-fallos-del-webmail-es",{"id":9,"slug":10,"slugs":11,"title":15,"excerpt":16,"readTime":17,"views":18,"isPinned":19,"publishedAt":20,"updatedAt":21,"category":22,"categories":27,"featuredImage":29,"bgImage":30,"posterImage":31,"relatedSolution":29,"intro":32,"sections":33,"ctaTitle":142,"ctaBody":143,"ctaButton":144,"ctaUrl":145,"relatedPosts":146},512,"roundcube-1-7-5-y-1-6-20-corregir-20-fallos-del-webmail",{"fr":12,"en":13,"ar":14,"es":10},"roundcube-1-7-5-1-6-20-correctifs-webmail-agence","roundcube-1-7-5-and-1-6-20-patch-20-webmail-flaws","roundcube-1-7-5-و1-6-20-إصلاح-20-ثغرة-في-البريد","Roundcube 1.7.5 y 1.6.20: corregir 20 fallos del webmail","Roundcube 1.7.5 y 1.6.20 corrigen 20 fallos. Inventaríe las versiones de las cuentas de clientes, actualice por rama y compruebe que la corrección esté activa.",8,0,false,"2026-10-27T00:00:00+00:00","2026-10-27T23:58:39+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":25},11,"Correo profesional","emails","bg-cyan-500\u002F10 text-cyan-400",[28],{"id":23,"name":24,"slug":25,"color":26,"icon":25},null,"\u002Fblog\u002Fcovers\u002Fbg.svg","\u002Fblog\u002Fcovers\u002Froundcube-1-7-5-1-6-20-correctifs-webmail-agence-poster.svg","El 19 de octubre de 2026 Roundcube publicó las versiones 1.6.20 y 1.7.5, que corrigen 20 fallos de seguridad del webmail: inyecciones de comandos IMAP, inyecciones de cabeceras, XSS y evasiones del bloqueo de contenido remoto. Debian siguió el 23 de octubre de 2026 con el aviso DSA-6579-1. No se ofrece ninguna solución alternativa: solo la actualización corrige. El verdadero trabajo no es instalar la corrección: es saber qué versión funciona en cada cliente y si la corrección está realmente presente. Esta guía da el método: inventariar, actualizar según la rama y verificar.",[34,38,49,81,84,103,106,129,132,136,139],{"type":35,"title":36,"body":37},"h2","Qué se publicó y qué conviene recordar","El 19 de octubre de 2026 el proyecto Roundcube anunció una actualización de seguridad de sus dos ramas mantenidas: la 1.6 (LTS) pasa a 1.6.20 y la 1.7 pasa a 1.7.5. El anuncio recomienda actualizar todas las instalaciones de producción y no ofrece ninguna solución alternativa. Las notas de versión piden hacer una copia de seguridad antes de actualizar.\n\nEl anuncio de Roundcube no cita ningún identificador CVE. Debian publicó el 23 de octubre de 2026 el aviso DSA-6579-1, que agrupa 20 CVE sin asignarlos uno a uno a las correcciones. Los sitios de terceros discrepan sobre esos identificadores: por eso esta guía no cita ninguno y remite a las fuentes primarias del final.",{"type":39,"title":40,"items":41},"ul","Las clases de fallos corregidos",[42,43,44,45,46,47,48],"**Inyección de comandos IMAP** — un salto de línea en los parámetros `_uid` (acciones de cabeceras y de código fuente) o `_flag` (acción de marcado) permitía inyectar comandos hacia el servidor IMAP.","**Inyección de cabeceras de mensaje** — nombre del remitente en la acción de reenvío, cabeceras `References`, `In-Reply-To` y `Message-ID`, asunto de un mensaje reenviado como adjunto, tipo de medio de una imagen en línea.","**Inyección de objetos de sesión** — la deserialización de la sesión aceptaba claves con prefijo de signo de exclamación.","**XSS** — la respuesta de error de un controlador de cambio de contraseña se trataba mal al mostrarse.","**Evasiones del bloqueo de contenido remoto** — atributo SVG SMIL `by`, secuencias de escape CSS, ámbito CSS evadido mediante at-rules.","**SSRF y ajustes evadidos** — el filtro de direcciones locales ignoraba el rango NAT64 `64:ff9b::\u002F96`, y antiguos alias de acciones escapaban al ajuste `disabled_actions`.","**Controladores e importaciones** — el controlador de contraseñas Modoboa podía cambiar la contraseña de otra cuenta, y la importación de SquirrelMail usaba un nombre de usuario sin sanear en una ruta de archivo.",{"type":50,"title":51,"headers":52,"rows":56},"comparison","Qué versión elegir según su instalación",[53,54,55],"Instalación","Versión corregida","A recordar",[57,61,65,69,73,77],[58,59,60],"Roundcube 1.6.x (archivo oficial)","1.6.20","Rama LTS: seguir en 1.6 y pasar a 1.6.20",[62,63,64],"Roundcube 1.7.x (archivo oficial)","1.7.5","Pasar a 1.7.5 sin cambiar de rama",[66,67,68],"Debian 13 (trixie)","1.6.20+dfsg-0+deb13u1","Versión del paquete citada por el aviso DSA-6579-1",[70,71,72],"Otras versiones de Debian","Consulte el aviso y el seguimiento de seguridad de Debian","El aviso solo lista trixie: lea el seguimiento del paquete para su versión",[74,75,76],"Webmail proporcionado por cPanel","Según la actualización del panel","Sigue las actualizaciones de cPanel: aquí no se afirma ninguna fecha",[78,79,80],"Otro panel o distribución","Según el editor","Leer el registro de cambios del paquete, no solo el número",{"type":35,"title":82,"body":83},"Por qué el número de versión no basta","Un webmail se instala de tres maneras: con el archivo oficial copiado a mano, con el paquete de la distribución o mediante el panel de alojamiento. Cada una se actualiza de forma distinta, y las dos últimas tienen una trampa: la corrección puede haberse retroportado a una versión antigua cuyo número no cambia, o no haberse incorporado todavía.\n\nUna agencia que gestiona decenas de cuentas acumula varias fuentes de verdad. Antes de actualizar hace falta un inventario: para cada cliente, dónde está instalado el webmail, por qué canal se entrega y qué versión muestra realmente.",{"type":85,"title":86,"steps":87},"steps","Inventariar las versiones de Roundcube",[88,91,94,97,100],{"title":89,"body":90},"Listar los servidores y el canal de entrega","Anote para cada servidor si Roundcube procede del paquete de la distribución, de un archivo copiado a mano o del panel de alojamiento. Ese canal decide el método de actualización.",{"title":92,"body":93},"Leer la versión de un paquete Debian o Ubuntu","En una máquina que usa el paquete de la distribución: `dpkg -l roundcube-core` da la versión instalada, y `apt-cache policy roundcube-core` muestra la versión candidata en sus repositorios.",{"title":95,"body":96},"Leer el registro de cambios del paquete","En Debian el número puede seguir igual cuando se retroporta una corrección. Lea el registro del paquete con `apt changelog roundcube-core` y busque la mención del aviso DSA-6579-1, en lugar de fiarse solo de la versión mostrada.",{"title":98,"body":99},"Anotar la versión de una instalación manual","Para un archivo instalado a mano, la versión es visible en la interfaz de Roundcube, en la información de la aplicación. Regístrela en su tabla de seguimiento junto con la ruta del directorio de instalación, que se reutilizará en el paso de actualización.",{"title":101,"body":102},"Registrar el resultado por cliente","Una línea por cuenta: servidor, canal, versión encontrada, versión objetivo, fecha de actualización. Esta tabla pasa a ser la prueba de que la corrección se aplicó en todas partes, y la lista de seguimiento de las cuentas rezagadas.",{"type":35,"title":104,"body":105},"Actualizar según el canal de entrega","La regla es la misma para todos los canales: apuntar a 1.6.20 para la rama 1.6 y a 1.7.5 para la rama 1.7, tras una copia de seguridad. Para un paquete de distribución, la actualización pasa por el gestor de paquetes. Para un archivo oficial, pasa por el script `installto.sh` incluido con Roundcube. Para un webmail entregado por un panel, la actualización sigue la del panel.",{"type":85,"title":107,"steps":108},"Actualizar una instalación",[109,112,115,118,121,124,127],{"title":110,"body":111},"Copiar el directorio y la base de datos","Copie el directorio de Roundcube y exporte la base de datos (esquema y datos) a un lugar seguro. Las notas de versión piden explícitamente esta copia antes de cualquier actualización.",{"title":113,"body":114},"Paquete Debian o Ubuntu","Ejecute `apt update` y después `apt install --only-upgrade roundcube-core`. A continuación compruebe la versión con `dpkg -l roundcube-core` y el registro del paquete.",{"title":116,"body":117},"Archivo oficial: descargar la versión","Descargue el archivo de la versión objetivo desde la página de descargas de Roundcube y descomprímalo en un directorio de trabajo, fuera de la instalación en producción.",{"title":119,"body":120},"Archivo oficial: ejecutar el script de actualización","Desde el directorio descomprimido, ejecute `bin\u002Finstallto.sh` indicando el directorio de la instalación existente. El script copia primero los archivos actualizados y luego lanza el script de actualización, que migra la configuración local y actualiza el esquema de la base de datos si es necesario.",{"title":122,"body":123},"Instalar las dependencias si hace falta","Si no descargó el archivo llamado completo, la documentación pide ejecutar `php composer.phar install --no-dev` en el directorio de la instalación con Composer 1.1.0 o superior.",{"title":125,"body":126},"Aplicar la base de datos manualmente si es necesario","Si el script no migró el esquema, `bin\u002Fupdatedb.sh` aplica los cambios de la base de datos. Lea la sección de actualización manual del archivo UPGRADING de Roundcube antes de ejecutarlo.",{"title":74,"body":128},"El webmail lo entrega el panel: su actualización sigue la de cPanel. Aquí no se afirma ninguna fecha para esta corrección. En un cliente, lea la versión en la interfaz de Roundcube, en la información de la aplicación, tras cada actualización del panel, y regístrela en la tabla de seguimiento. Si la versión mostrada no es una corregida, comuníquelo al soporte del proveedor de alojamiento.",{"type":35,"title":130,"body":131},"Comprobar que la corrección está realmente aplicada","Una actualización que no produce errores no es una actualización verificada. Compruebe la versión mostrada, que debe corresponder a 1.6.20 o 1.7.5 para un archivo, o al número del paquete para una distribución. En Debian, compruebe además que el registro del paquete menciona el aviso DSA-6579-1.\n\nPruebe después un ciclo completo con una cuenta de prueba: inicio de sesión, lectura de un mensaje, envío, respuesta, marcado. Revise por último el registro de errores del webmail y del servidor web: un error que aparece justo tras el cambio de versión suele señalar un complemento o un archivo de configuración por migrar.",{"type":133,"title":134,"body":135},"tip","Refuerzo duradero, sin presentarlo como solución alternativa","Estas medidas no sustituyen la actualización: reducen la superficie para las próximas. Desactive los complementos innecesarios, en particular el de cambio de contraseña (`password`) cuando los clientes no lo usan, ya que dos de los fallos corregidos afectaban a sus controladores. Limite la exposición del webmail a lo necesario y conserve los registros del servidor web y de Roundcube.",{"type":35,"title":137,"body":138},"Buscar rastros de explotación","Los fallos de inyección se activan con peticiones cuyo parámetro contiene un salto de línea. Como indicio, busque en los registros del servidor web peticiones al webmail cuyos parámetros `_uid` o `_flag` contengan saltos de línea codificados (`%0d%0a`), y busque envíos de mensajes inusuales desde los buzones afectados. La ausencia de rastros no es una prueba: los registros solo cubren lo que registran. Actualice primero e investigue después si una cuenta de cliente muestra un comportamiento anormal.",{"type":35,"title":140,"body":141},"La documentación oficial","Los hechos de esta guía proceden de fuentes primarias, que conviene leer antes de actuar: el anuncio de Roundcube en https:\u002F\u002Froundcube.net\u002Fnews\u002F2026\u002F10\u002F19\u002Fsecurity-updates-1.6.20-and-1.7.5, las notas de la 1.6.20 en https:\u002F\u002Fgithub.com\u002Froundcube\u002Froundcubemail\u002Freleases\u002Ftag\u002F1.6.20 y de la 1.7.5 en https:\u002F\u002Fgithub.com\u002Froundcube\u002Froundcubemail\u002Freleases\u002Ftag\u002F1.7.5, el aviso de Debian DSA-6579-1 en https:\u002F\u002Flists.debian.org\u002Fdebian-security-announce\u002F2026\u002Fmsg00495.html y el procedimiento de actualización en https:\u002F\u002Fgithub.com\u002Froundcube\u002Froundcubemail\u002Fwiki\u002FUpgrade.","Una vista única de las cuentas de correo de sus clientes","En el alojamiento de revendedor ServOrbit.com, el webmail sigue las actualizaciones del panel. Usted mantiene la relación con sus clientes y el seguimiento de sus buzones; nosotros gestionamos la infraestructura.","Descubrir la oferta para agencias","\u002Fsolutions\u002Fagences",[147,163,179],{"id":148,"slug":149,"slugs":150,"title":154,"excerpt":155,"readTime":156,"views":18,"isPinned":19,"publishedAt":157,"updatedAt":158,"category":159,"categories":160,"featuredImage":29,"bgImage":30,"posterImage":162,"relatedSolution":29},459,"comparativa-servidores-email-self-hosted-en-vps-2026",{"fr":151,"en":152,"ar":153,"es":149},"serveur-email-self-hosted-comparatif-vps-2026","self-hosted-email-server-on-vps-comparison-2026","مقارنة-خوادم-البريد-self-hosted-على-vps-2026","Servidor de email self-hosted en VPS: comparativa 2026","Stalwart, Mailcow o Postfix+Dovecot: compara RAM, complejidad y cobertura antispam para elegir el servidor de correo adecuado para tu VPS en menos de 10 minutos.",10,"2026-10-16T00:00:00+00:00","2026-10-18T21:57:56+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":25},[161],{"id":23,"name":24,"slug":25,"color":26,"icon":25},"\u002Fblog\u002Fcovers\u002Fserveur-email-self-hosted-comparatif-vps-2026-poster.svg",{"id":164,"slug":165,"slugs":166,"title":170,"excerpt":171,"readTime":172,"views":18,"isPinned":19,"publishedAt":173,"updatedAt":174,"category":175,"categories":176,"featuredImage":29,"bgImage":30,"posterImage":178,"relatedSolution":29},199,"spf-dkim-dmarc-superar-el-umbral-de-5000-correos",{"fr":167,"en":168,"ar":169,"es":165},"spf-dkim-dmarc-delivrabilite-emails-pro","spf-dkim-dmarc-passing-the-5000-email-threshold","spf-وdkim-وdmarc-تجاوز-عتبة-5000-رسالة","SPF, DKIM, DMARC: superar el umbral de 5000 correos","Gmail y Outlook rechazan con un error SMTP 550 a los remitentes sin DMARC alineado. Cómo configurar SPF, DKIM y DMARC para superar el umbral.",4,"2026-08-01T00:00:00+00:00","2026-09-07T11:26:10+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":25},[177],{"id":23,"name":24,"slug":25,"color":26,"icon":25},"\u002Fblog\u002Fcovers\u002Fspf-dkim-dmarc-delivrabilite-emails-pro-poster.svg",{"id":180,"slug":181,"slugs":182,"title":186,"excerpt":187,"readTime":188,"views":189,"isPinned":19,"publishedAt":190,"updatedAt":191,"category":192,"categories":197,"featuredImage":29,"bgImage":30,"posterImage":199,"relatedSolution":29},489,"php2shell-cve-2026-109618-109619-actualizar-php",{"fr":183,"en":184,"ar":185,"es":181},"php2shell-cve-2026-109618-109619-mettre-a-jour-php","php2shell-cve-2026-109618-109619-patch-php","php2shell-cve-2026-109618-109619-تحديث-php","PHP2Shell: cómo corregir CVE-2026-109618 y CVE-2026-109619","PHP2Shell: dos fallos críticos de PHP explotables sin cuenta. Versiones corregidas, comandos de actualización por sistema y medidas temporales.",16,1,"2026-10-22T00:00:00+00:00","2026-10-27T23:58:43+00:00",{"id":17,"name":193,"slug":194,"color":195,"icon":196},"Seguridad y monitorización","securite-monitoring","bg-rose-500\u002F10 text-rose-400","security",[198],{"id":17,"name":193,"slug":194,"color":195,"icon":196},"\u002Fblog\u002Fcovers\u002Fphp2shell-cve-2026-109618-109619-mettre-a-jour-php-poster.svg",1793146138700]