- Roundcube, le webmail open source utilisé par de nombreuses PME, présente plusieurs failles de sécurité importantes.
- Un attaquant peut prendre le contrôle à distance, accéder à des données confidentielles ou détourner des requêtes depuis votre serveur.
- Une mise à jour est indispensable si vous hébergez vous-même Roundcube ou si votre prestataire le gère pour vous.
Qu’est-ce que Roundcube et pourquoi c’est important ?
Roundcube est un logiciel de messagerie web (webmail) très répandu, souvent installé par les hébergeurs ou les prestataires informatiques pour permettre aux collaborateurs de consulter leurs e-mails depuis un navigateur. Si votre entreprise l’utilise, que ce soit en interne ou via votre hébergeur, cette alerte vous concerne directement.
Ce que permettent ces failles
Le CERT-FR a identifié plusieurs vulnérabilités dans Roundcube, dont certaines sont particulièrement sérieuses :
- Exécution de code à distance : un attaquant pourrait lancer des commandes sur votre serveur sans y avoir accès physiquement, simplement en exploitant la faille via Internet.
- Atteinte à la confidentialité des données : des informations sensibles (e-mails, pièces jointes, données de connexion) pourraient être consultées par une personne malveillante.
- Falsification de requêtes côté serveur (SSRF) : l’attaquant peut forcer votre serveur à effectuer des requêtes vers d’autres systèmes internes, ce qui peut ouvrir la porte à des attaques plus profondes sur votre réseau.
Beaucoup de PME pensent que leur webmail est géré « automatiquement » par leur hébergeur et ne nécessite pas de suivi. Ce n’est pas toujours le cas : vérifiez explicitement auprès de votre prestataire que la mise à jour a bien été appliquée, et demandez-le par écrit si possible.
Si vous ne savez pas quelle version de Roundcube est installée chez vous, connectez-vous à votre interface d’administration ou posez la question à votre prestataire. Comparez ensuite avec la version corrigée mentionnée dans les notes de publication officielles de Roundcube.
Ce qu’il faut faire concrètement
Contactez dès aujourd’hui votre prestataire informatique ou votre hébergeur pour vérifier que Roundcube est bien à jour dans sa dernière version corrigée. Si vous gérez vous-même votre serveur, appliquez immédiatement le correctif disponible. En attendant la mise à jour, limitez si possible l’accès à l’interface webmail aux seules adresses IP de confiance. Consultez l’avis officiel du CERT-FR pour le détail des versions concernées : CERTFR-2026-AVI-0987.
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.