Sommaire
Le webmail open source Roundcube vient de publier en urgence ses versions 1.6.20 et 1.7.5, annoncées le 19 octobre 2026. Au programme : pas moins de 20 failles de sécurité corrigées d’un coup — la plus grosse vague depuis la sortie de la branche 1.7.0 en mai, avec des failles d’injection de commandes IMAP, d’injection d’en-têtes de mail, de XSS, de CSRF et de SSRF.
Sur un hébergement mutualisé, Roundcube est généralement fourni via cPanel ou Plesk, qui embarquent la branche 1.6 : le correctif arrivera donc avec les prochaines mises à jour du panneau. Les deux éditeurs ont déjà livré chacune des quatre vagues précédentes dans un délai de trois à neuf jours. Si vous êtes hébergé ailleurs ou gérez votre propre serveur, vérifiez la version de votre Roundcube et mettez à jour sans attendre.
Lento dit : vingt failles d’un coup dans le webmail que votre hébergeur vous fournit gratuitement ? C’est la vie. Le webmail, c’est comme la porte de service : on l’utilise tous les jours et on ne la verrouille jamais. Vérifiez votre version, et si votre hébergeur traîne à livrer le patch, considérez ça comme un signal d’alerte sur son sérieux.
