Roundcube : 1.6.20 et 1.7.5 corrigent vingt failles, DSA-6579-1 pour Debian 13, Debian 12 pas encore corrigée
Roundcube 1.6.20 et 1.7.5 (19/10) corrigent 20 failles dont une injection IMAP (CVSS 7,1). Debian 13 est corrigée (DSA-6579-1), Debian 12 reste vulnérable : mettre à jour les webmails exposés.
par Frédéric Vagner · publié le
- Sévérité
- Haute CVSS 7,1 / 10
- CVE
- CVE-2026-113386 CVE-2026-114714 CVE-2026-114715 CVE-2026-114716 CVE-2026-114717 CVE-2026-114718 CVE-2026-114719 CVE-2026-114720 CVE-2026-114721 CVE-2026-114722 CVE-2026-114723 CVE-2026-114724 CVE-2026-114725 CVE-2026-114726 CVE-2026-114727 CVE-2026-114728 CVE-2026-114729 CVE-2026-114730 CVE-2026-114731 CVE-2026-114732
- Produits
- DebianAutres Linux
- Versions touchées
- Roundcube avant 1.6.20 et 1.7.x avant 1.7.5
- Versions corrigées
- 1.6.20 / 1.7.5 ; Debian 13 : 1.6.20+dfsg-0+deb13u1 ; Debian 12 : en attente
- Correctif
- Correctif disponible
- Source
- roundcube.net ↗
Roundcube a publié le 19/10/2026 les versions 1.6.20 (branche LTS) et 1.7.5, qui corrigent une vingtaine de failles. Debian 13 a repris le correctif avec DSA-6579-1 (20 CVE). Roundcube est le webmail le plus courant sur les serveurs d'hébergement : à traiter en priorité sur les serveurs exposés.
Qui est concerné ?
Toute installation Roundcube antérieure à 1.6.20 / 1.7.5 : paquet Debian, installation manuelle, ou Roundcube livré avec un panneau d'hébergement (Plesk inclut Roundcube ; version fournie et date de mise à jour par Plesk : à confirmer, non trouvées dans le change log au 24/10).
Risque
Parmi les failles vérifiées sur le NVD : CVE-2026-113386 (CVSS 7,1, injection de commandes IMAP par séquences CRLF dans le paramètre _uid, utilisateur authentifié), CVE-2026-114732 (6,8, authentification incorrecte sur les installations multi-hôtes avec alias) et CVE-2026-114714 (5,3, traversée de répertoire dans le plugin squirrelmail_usercopy). Les scores des 17 autres CVE sont à confirmer. Aucune exploitation active connue (absent du catalogue CISA KEV au 24/10).
Corriger
| Distribution | Version vulnérable | Version corrigée |
|---|---|---|
| Debian 13 (trixie) | 1.6.18+dfsg-0+deb13u1 | 1.6.20+dfsg-0+deb13u1 (DSA-6579-1) |
| Debian 12 (bookworm) | 1.6.5+dfsg-1+deb12u12 : vulnérable, pas encore de DLA | en attente |
| Debian forky / sid | — | 1.6.20+dfsg-1 |
# Debian 13
apt update && apt install --only-upgrade roundcube roundcube-core
# Installation manuelle : télécharger 1.6.20 ou 1.7.5 sur roundcube.net et suivre UPGRADINGContournement
Sans correctif (Debian 12) : limiter l'accès au webmail (VPN, filtrage IP), désactiver les plugins non indispensables (notamment squirrelmail_usercopy), surveiller les journaux d'accès.
Vérifier
dpkg -l roundcube-core | tail -1
grep -m1 RCMAIL_VERSION /usr/share/roundcube/program/include/iniset.php