Faille Roundcube exploitée par des images SVG : vérifiez la version de votre webmail
Une faille de Roundcube corrigée en décembre 2025 a ensuite été confirmée exploitée. Beaucoup d'hébergeurs l'utilisent comme webmail.
Concerne :Roundcube avant 1.6.12 / 1.5.12Webmail de nombreux hébergeurs
En décembre 2025, le projet Roundcube a publié les versions 1.6.12 et 1.5.12 pour corriger deux problèmes de sécurité, dont une faille de type cross-site scripting déclenchée par la balise animate d'une image SVG, suivie sous le nom CVE-2025-68461 et signalée par un chercheur de CrowdStrike. Concrètement, un courriel piégé pouvait exécuter du code dans la session webmail de la personne qui le lisait, ce qui permet à un attaquant d'agir à sa place.
Le 20 février 2026, l'agence américaine CISA a ajouté cette faille à son catalogue de vulnérabilités exploitées. Le même jour, elle a ajouté CVE-2025-49113, une faille plus ancienne de Roundcube corrigée en juin 2025 dans les versions 1.6.11 et 1.5.10, qui permet à un utilisateur connecté d'exécuter du code sur le serveur.
Roundcube a publié de nombreuses mises à jour de sécurité depuis. Les plus récentes sur sa page d'actualités, datées du 19 octobre 2026, sont 1.6.20 et 1.7.5. La dernière version 1.5 indiquée est 1.5.15, de mars 2026.
Qui est concerné
Toute personne dont le webmail utilise Roundcube avant 1.5.12, ou une version 1.6 antérieure à 1.6.12. Beaucoup d'hébergeurs proposent Roundcube comme webmail : si vous lisez vos courriels professionnels dans un navigateur chez votre hébergeur, vous êtes peut-être concerné. Le serveur appartient à votre hébergeur, la mise à jour relève donc de lui, sauf si vous gérez votre propre VPS.
Comment vérifier votre site
- Connectez-vous à votre webmail. Si la page affiche le logo ou le nom Roundcube, vous l'utilisez.
- Ouvrez les Paramètres et cherchez le lien « À propos ». Il indique la version de Roundcube.
- Comparez-la aux versions ci-dessus. Une version antérieure à 1.6.12 est touchée par cette faille, et une version antérieure à 1.6.20 ou 1.7.5 manque des correctifs plus récents.
Quoi faire maintenant
- Si votre version est ancienne, demandez à votre hébergeur quand Roundcube passera à la dernière version 1.6 ou 1.7, et s'il a constaté une activité inhabituelle sur vos boîtes.
- Sur votre propre VPS, mettez Roundcube à jour vers la dernière version publiée sur roundcube.net, ou par les mises à jour de votre panneau.
- Changez votre mot de passe de courriel si vous voyez des messages que vous n'avez pas envoyés, de nouvelles règles de transfert ou des réglages modifiés.
- En attendant la confirmation, méfiez-vous des courriels inattendus, surtout ceux qui contiennent des images d'expéditeurs inconnus.
Les hébergeurs mettent en général le webmail à jour avec leurs mises à jour courantes, donc un serveur entretenu depuis début 2026 est très probablement protégé, mais la page « À propos » se vérifie en une minute. Cette alerte rapporte ce que les sources ci-dessous ont publié et ne constitue pas une garantie concernant un site en particulier.