Roundcube et ClamAV : 2 correctifs urgents à appliquer
Roundcube et ClamAV nécessitent des correctifs urgents pour prévenir des vulnérabilités critiques qui peuvent compromettre la sécurité des emails.
Roundcube et ClamAV font partie des priorités de patch à traiter sans attendre. Le CERT-FR a relayé de nouvelles vulnérabilités critiques, et le risque est simple à comprendre : un webmail exposé ou un filtre antivirus mal corrigé peut ouvrir la porte à une compromission rapide.
Pour une PME, la bonne approche consiste à trier les mises à jour par impact. Je vous conseille de commencer par Roundcube si votre messagerie web est en service, puis de vérifier ClamAV sur les serveurs qui analysent les pièces jointes. Les autres alertes publiées dans la même vague méritent aussi une revue, mais les deux premières peuvent toucher directement l’accès aux mails et la chaîne de sécurité.
Pourquoi cette alerte mérite une réaction immédiate
Roundcube a déjà fait l’objet d’une alerte du CERT-FR en 2025 sur la faille CVE-2025-49113. Cette vulnérabilité concernait les versions 1.6.x antérieures à 1.6.11 et les versions antérieures à 1.5.10. L’éditeur a publié des correctifs, et le CERT-FR a recommandé une mise à jour rapide au vu du nombre de produits exposés.
Le sujet n’a rien de théorique. Une faille sur un webmail touche souvent des comptes actifs. Elle peut servir de point d’entrée vers les messages, les contacts, puis d’autres services internes. Autrement dit, l’accès aux emails devient un levier d’attaque. Et quand un attaquant peut lire ou injecter du contenu, l’impact dépasse vite le simple poste utilisateur.
La situation est d’autant plus sensible que Roundcube a corrigé d’autres vulnérabilités en 2026. L’éditeur a publié des mises à jour d’urgence pour les branches 1.6 et 1.7, avec des versions comme 1.6.18 et 1.7.3 mentionnées dans les bulletins techniques récents. Cela confirme un point simple : les correctifs s’enchaînent, donc rester sur une version ancienne n’est plus défendable.
Roundcube : ce qu’un administrateur doit vérifier tout de suite
Premier réflexe : identifier la version réellement déployée. Si vous utilisez Roundcube en direct, ou via un hébergeur, un panel comme cPanel ou Plesk peut embarquer sa propre copie. Le bulletin du CERT-FR rappelle d’ailleurs que le produit est exposé aussi via les solutions qui l’intègrent.
Ensuite, comparez votre installation avec les versions corrigées publiées par l’éditeur. Pour la faille CVE-2025-49113, les versions sûres sont au minimum 1.5.10 et 1.6.11. Pour les correctifs plus récents, l’éditeur a diffusé des mises à jour de sécurité pour la branche 1.6 et la branche 1.7.
Je recommande un ordre de travail très concret :
- Vérifiez la version installée de Roundcube.
- Repérez le mode d’installation, paquet système, hébergement mutualisé, panel d’administration ou installation manuelle.
- Appliquez le correctif éditeur dès qu’il est disponible.
- Redémarrez les services liés au webmail après la mise à jour.
- Contrôlez les journaux d’accès et les erreurs PHP.
Si vous administrez un environnement Debian ou dérivé, la fiche de suivi sécurité Debian est utile pour recouper les versions corrigées et les paquets concernés. En cas de doute sur le bulletin officiel, consultez aussi la page sécurité de l’éditeur Roundcube.
ClamAV : l’autre point à surveiller sur les serveurs mail
ClamAV est souvent discret, mais il joue un rôle central dans la chaîne de messagerie. Quand il filtre les pièces jointes, il protège à la fois la boîte de réception et les serveurs qui stockent les fichiers. Une faiblesse non corrigée peut donc laisser passer un fichier piégé, ou dégrader la capacité de détection.
Dans une PME, je vois souvent le même scénario : on pense à mettre à jour le poste de travail, mais on oublie le moteur qui traite les mails en entrée. C’est une erreur classique. Si votre passerelle mail, votre NAS ou votre serveur Linux embarque ClamAV, il faut vérifier sa version, puis appliquer les correctifs fournis par la distribution ou par l’éditeur.
Le bon réflexe consiste à contrôler trois points. D’abord, la version du moteur. Ensuite, la date des bases de signatures. Enfin, le mode de mise à jour automatique. Un antivirus sans bases fraîches perd vite son intérêt. Là encore, la remédiation rapide compte plus que la perfection.
Les vérifications utiles à faire côté serveur
Sur un serveur Linux, je conseille de lancer un contrôle de version, puis de relancer le service après mise à niveau. Si ClamAV est branché à Postfix, Dovecot, Amavis ou un autre relais, testez aussi le chemin de traitement des pièces jointes. Une mise à jour ratée peut casser le flux mail sans prévenir.
Si vous utilisez une distribution maintenue, la documentation officielle de votre système reste la meilleure base. Elle vous dira si le paquet est corrigé, si un dépôt de sécurité est actif, et si un redémarrage est requis. Le point clé est simple : ne laissez pas un moteur antimalware ancien sur une passerelle exposée.
Plan d’action en moins d’une heure
Quand je dois prioriser une intervention à distance, je commence toujours par ce qui est exposé au public. Roundcube passe avant le reste s’il sert de webmail accessible depuis Internet. ClamAV passe juste derrière s’il protège les flux entrants de mails ou les fichiers partagés.
Voici l’ordre que je recommande :
- Inventoriez les serveurs, NAS et panels qui utilisent Roundcube ou ClamAV.
- Notez les versions installées et les canaux de mise à jour.
- Appliquez les correctifs disponibles sur l’environnement le plus exposé.
- Vérifiez les journaux après redémarrage.
- Testez l’envoi et la réception d’un mail avec pièce jointe légitime.
Si vous avez besoin d’un appui documentaire pour comprendre le fonctionnement d’un webmail open source, la page projet de Roundcube reste une base propre et maintenue. Pour suivre l’état des vulnérabilités côté gouvernement canadien, le bulletin de sécurité Roundcube récapitule aussi les branches touchées et les versions à viser.
Dernier point, souvent négligé : désactivez les modules inutiles si votre installation les charge encore. Un plugin en trop, c’est une surface d’attaque en plus. Si vous ne pouvez pas patcher tout de suite, réduisez au moins l’exposition. Mais dans le cas présent, la vraie réponse reste la même : patcher en urgence, vérifier, puis recontrôler le lendemain.
Si vous gérez un webmail Roundcube ou un serveur qui filtre avec ClamAV, faites le contrôle aujourd’hui, pas cette semaine.
