Si votre adresse courriel ouvre dans Roundcube, la mise à jour doit être installée du côté du service de messagerie. Vous n’avez pas à télécharger un « correctif » reçu par courriel. Demandez plutôt au fournisseur, à l’hébergeur ou à l’équipe TI de confirmer que Roundcube est passé à la version 1.6.20, à la version 1.7.5 ou à une version officielle plus récente.
Pourquoi cette mise à jour est importante
Le 22 octobre 2026, le Centre canadien pour la cybersécurité a publié l’avis AV26-1075. Il indique que les versions de Roundcube antérieures à 1.6.20 et 1.7.5 sont touchées par des vulnérabilités et recommande d’installer les mises à jour nécessaires.
Roundcube a publié ses correctifs le 19 octobre. La liste comprend notamment des problèmes liés aux commandes IMAP, aux en-têtes de courriel, au contenu distant, aux pièces jointes traitées par ImageMagick, aux sessions et à certaines protections contre les requêtes non autorisées. Cette liste ne prouve pas que votre boîte a été compromise; elle justifie une mise à jour rapide et vérifiable.
Roundcube, est-ce une application sur mon appareil?
Le plus souvent, Roundcube est une interface Web offerte par un hébergeur ou une organisation. Vous y accédez avec un navigateur, mais le logiciel lui-même fonctionne sur le serveur de messagerie. Mettre Chrome, Firefox, Windows ou macOS à jour demeure une bonne pratique, mais cela ne remplace pas la mise à jour de Roundcube sur le serveur.
| Votre situation | Action utile | À éviter |
|---|---|---|
| Vous utilisez un webmail fourni par un hébergeur | Ouvrez une demande au soutien et demandez la version de Roundcube actuellement déployée. | Télécharger un fichier de mise à jour trouvé dans un courriel ou une publicité. |
| Votre courriel est géré par votre employeur ou votre école | Transmettez l’avis AV26-1075 à l’équipe TI et laissez-la gérer le correctif. | Contourner les règles de l’organisation ou installer un logiciel non approuvé. |
| Vous administrez vous-même le serveur | Suivez la procédure officielle de votre méthode d’installation, sauvegardez et testez après la mise à jour. | Remplacer des fichiers au hasard sans tenir compte des extensions, du thème et de la base de données. |
Vérifier sans tomber dans un faux correctif
- Partez d’un canal connu. Utilisez le portail client de votre hébergeur, son site tapé manuellement ou le contact TI habituel.
- Posez une question précise. Demandez si le service utilise Roundcube et, si oui, si la version est 1.6.20, 1.7.5 ou plus récente.
- Gardez la réponse. Conservez le numéro de billet ou l’avis de maintenance, sans y copier votre mot de passe.
- Refusez les instructions inhabituelles. Un fournisseur légitime n’a pas besoin que vous envoyiez votre mot de passe par courriel ou que vous exécutiez une commande fournie dans un message.
Que faire si le soutien ne répond pas tout de suite?
- n’envoyez pas de renseignements sensibles par courriel pendant que la situation est incertaine;
- ne réutilisez pas votre mot de passe de messagerie sur d’autres services;
- activez l’authentification multifacteur si votre fournisseur l’offre déjà;
- surveillez les règles de transfert, les appareils connectés et les messages envoyés lorsque ces options sont accessibles;
- gardez vos appareils et votre navigateur à jour, même si le correctif Roundcube demeure une responsabilité du serveur.
Si vous remarquez un signe inhabituel
Un message envoyé sans vous, une règle de transfert inconnue, un changement de mot de passe inattendu ou une connexion que vous ne reconnaissez pas mérite une action immédiate. Passez par le canal officiel du fournisseur, changez le mot de passe depuis un appareil fiable, déconnectez les sessions inconnues et vérifiez les méthodes de récupération. Évitez de conclure qu’un incident Roundcube précis est la cause sans analyse du fournisseur.
Sources
- Centre canadien pour la cybersécurité — Bulletin de sécurité Roundcube AV26-1075, 22 octobre 2026.
- Roundcube — Security updates 1.6.20 and 1.7.5 released, 19 octobre 2026.
Les versions et méthodes d’installation varient selon l’hébergeur. Cet article aide l’utilisateur à vérifier la responsabilité et le canal; il ne remplace pas la procédure d’administration du serveur.