- Plusieurs vulnérabilités ont été découvertes dans Roundcube Webmail, un logiciel de messagerie web utilisé par de nombreuses PME.
- Ces failles pourraient permettre à un attaquant d’effectuer des requêtes frauduleuses depuis votre serveur (SSRF), d’injecter du code malveillant via le navigateur (XSS) ou de contourner certaines règles de sécurité.
- Une mise à jour est à appliquer dès que possible si vous utilisez Roundcube.
Qu’est-ce qui est concerné ?
Le CERT-FR a publié le 7 septembre 2026 un avis signalant plusieurs vulnérabilités dans Roundcube Webmail. Ce logiciel permet d’accéder à sa messagerie directement depuis un navigateur web. Il est souvent déployé par des PME ou des hébergeurs pour gérer les e-mails en interne.
Quels risques concrètement ?
Selon le CERT-FR, les failles identifiées pourraient permettre à un attaquant de :
- Provoquer une falsification de requêtes côté serveur (SSRF) : le serveur qui héberge Roundcube pourrait être manipulé pour envoyer des requêtes vers d’autres systèmes internes, à l’insu des administrateurs.
- Réaliser une injection de code indirecte à distance (XSS) : du code malveillant pourrait être exécuté dans le navigateur d’un utilisateur qui consulte sa messagerie, potentiellement à son insu.
- Contourner la politique de sécurité : certaines protections mises en place sur l’application pourraient être ignorées.
Beaucoup de PME pensent que Roundcube est géré automatiquement par leur hébergeur et qu’elles n’ont rien à faire. Ce n’est pas toujours le cas : si vous avez installé Roundcube vous-même, ou si votre hébergeur ne met pas à jour les logiciels à votre place, la mise à jour vous incombe. Vérifiez auprès de votre prestataire.
Si vous n’êtes pas sûr d’utiliser Roundcube, demandez à votre responsable informatique ou à votre hébergeur de vérifier. Le nom apparaît souvent sur la page de connexion à votre messagerie web.
Ce qu’il faut faire concrètement
Vérifiez si votre messagerie web repose sur Roundcube. Si c’est le cas, appliquez sans tarder la mise à jour disponible, ou demandez à votre prestataire informatique ou hébergeur de le faire. Consultez directement l’avis officiel du CERT-FR pour les détails techniques et les versions concernées : CERTFR-2026-AVI-1122.
Veille et actualité cyber au quotidien. Thomas traduit les alertes CERT-FR et les tendances du moment en informations claires, utiles et sans jargon pour les PME.