Sommaire
Roundcube a publié lundi 9 novembre les versions 1.6.21 et 1.7.6 de son webmail open source, avec les mêmes 17 correctifs de sécurité dans les deux branches. Au menu : des injections en tous genres — commandes IMAP, scripts Sieve, en-têtes d’e-mails —, trois contournements de la protection CSRF, deux failles SSRF via les noms de domaine nip.io et sslip.io, une redirection ouverte, une boucle CPU qui peut mettre le serveur à genoux et un contenu de pièce jointe dangereux passé à ImageMagick. Aucun numéro CVE n’a été attribué pour l’instant et aucune exploitation n’a été signalée, mais le projet recommande de mettre à jour toutes les installations de production sans attendre.
Le point qui compte pour vous : si votre hébergeur utilise cPanel ou Plesk, votre webmail tourne sur la branche 1.6 — la mise à jour arrivera via les builds des panneaux, pas directement. Et Roundcube prévient que cette branche, vieille de quatre ans, « sera abandonnée assez vite » : rétroporter les correctifs devient trop lourd. Il faudra donc prévoir la migration vers la 1.7, une mise à jour majeure (PHP 8.1 minimum, point d’entrée public_html obligatoire). DirectAdmin, lui, est déjà passé en 1.7 au printemps.
Lento dit : Dix-sept failles d’un coup dans le webmail que votre hébergeur vous sert depuis des années, et la branche 1.6 qui va disparaître. Si votre panneau n’a pas encore poussé la mise à jour, c’est le moment de le lui rappeler — le webmail, c’est la porte d’entrée de vos e-mails, pas un détail.
