- Plusieurs vulnérabilités ont été découvertes dans Roundcube Webmail, dont certaines permettent l’exécution de code à distance.
- Des attaques de type SSRF et XSS (injection de code indirecte) sont également possibles selon le CERT-FR.
- Si votre entreprise utilise Roundcube comme messagerie web, une mise à jour s’impose rapidement.
Qu’est-ce que Roundcube Webmail ?
Roundcube est un logiciel de messagerie accessible depuis un navigateur web. Il est utilisé par de nombreuses PME et hébergeurs pour consulter et gérer ses e-mails sans avoir à installer un client de messagerie sur son poste.
Ce que les chercheurs ont trouvé
Le CERT-FR signale que plusieurs failles de sécurité ont été identifiées dans Roundcube Webmail. Parmi les plus préoccupantes :
- Exécution de code arbitraire à distance : un attaquant pourrait, dans certaines conditions, exécuter des actions malveillantes directement sur le serveur qui héberge votre messagerie, sans avoir besoin d’un accès physique.
- SSRF (falsification de requêtes côté serveur) : cette technique permet à un attaquant de manipuler le serveur pour qu’il effectue des requêtes réseau à sa place, ce qui peut exposer des ressources internes normalement inaccessibles depuis l’extérieur.
- XSS (injection de code indirecte à distance) : un contenu malveillant pourrait être injecté et s’exécuter dans le navigateur d’un utilisateur qui consulte sa messagerie, à son insu.
Beaucoup de PME pensent que leur messagerie web est gérée uniquement par leur hébergeur et qu’elles n’ont rien à faire. C’est parfois vrai, mais pas toujours. Si vous gérez vous-même votre serveur de mail ou si Roundcube est installé dans votre infrastructure, la mise à jour vous incombe directement. En cas de doute, contactez votre prestataire informatique pour vérifier qui est responsable de la maintenance.
Les failles de type XSS passent souvent inaperçues car elles s’activent simplement en ouvrant un e-mail piégé. Rappeler à vos collaborateurs de ne pas cliquer sur des liens suspects reçus par mail reste un réflexe utile, même quand le correctif est en cours de déploiement.
Ce qu’il faut faire concrètement
Vérifiez si Roundcube Webmail est utilisé dans votre organisation. Si c’est le cas, appliquez les mises à jour disponibles dès que possible ou demandez à votre prestataire de le faire. Consultez l’avis officiel du CERT-FR pour connaître les versions concernées et les correctifs à appliquer : CERTFR-2026-AVI-1340.
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.