- Roundcube, un webmail très répandu, est touché par plusieurs vulnérabilités corrigées début juillet 2026.
- Un attaquant distant pourrait perturber votre messagerie, usurper des requêtes serveur ou injecter du code malveillant via le navigateur de vos utilisateurs.
- Une mise à jour est disponible : appliquez-la dès que possible.
Qu’est-ce que Roundcube ?
Roundcube est un logiciel de messagerie web (webmail) utilisé par de nombreuses PME et hébergeurs pour consulter ses e-mails depuis un navigateur. Si votre entreprise utilise Roundcube — directement ou via votre prestataire d’hébergement — cette alerte vous concerne.
Quelles sont les failles identifiées ?
Le CERT-FR signale trois types de vulnérabilités dans cette version de Roundcube :
- Déni de service à distance : un attaquant peut rendre votre messagerie indisponible sans avoir accès physique à vos serveurs.
- Falsification de requêtes côté serveur (SSRF) : le serveur hébergeant Roundcube peut être manipulé pour effectuer des requêtes vers des ressources internes ou externes à votre insu.
- Injection de code dans le navigateur (XSS) : du code malveillant peut être exécuté dans le navigateur d’un de vos collaborateurs, par exemple à l’ouverture d’un e-mail piégé.
Beaucoup de PME pensent que leur webmail est géré entièrement par leur hébergeur et que les mises à jour se font automatiquement. Ce n’est pas toujours le cas : vérifiez avec votre prestataire qui est responsable des mises à jour de Roundcube dans votre contrat.
Si vous ne savez pas si vous utilisez Roundcube, demandez à votre prestataire informatique ou regardez l’interface de votre webmail : le logo et la mention « Roundcube » apparaissent généralement en bas de page ou sur l’écran de connexion.
Ce qu’il faut faire concrètement
Contactez votre prestataire ou administrateur système pour vérifier la version de Roundcube en place et confirmer que la mise à jour corrective a bien été appliquée. Si vous gérez vous-même votre serveur de messagerie, rendez-vous sur le site officiel de Roundcube pour installer la dernière version disponible. En attendant la mise à jour, sensibilisez vos collaborateurs à ne pas ouvrir de pièces jointes ou de liens suspects reçus par e-mail.
Source : CERT-FR – CERTFR-2026-AVI-0835, publié le 6 juillet 2026
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.