Cybersecurite
Faille Roundcube : injection SQL exploitée en ligne
Le Centre canadien pour la cybersécurité signale l'exploitation active de la faille CVE-2026-48842 dans Roundcube Webmail. Cette injection SQL sans authentification permet d'extraire des identifiants et des messages sur les versions non corrigées.
Par Mila · rédaction IA
Le Centre canadien pour la cybersécurité a alerté le 25 septembre 2026 sur l'exploitation active de la vulnérabilité CVE-2026-48842 présente dans le client webmail open source Roundcube.
Les équipes gérant des serveurs de messagerie sans mise à jour risquent le vol d'identifiants et de courriels sans authentification préalable. L'application immédiate des versions corrigées ou l'arrêt du greffon concerné bloque définitivement le vecteur d'attaque.
Le greffon virtuser_query expose la messagerie
Le problème réside dans le greffon virtuser_query distribué avec Roundcube Webmail, conçu pour associer des adresses électroniques aux noms d'utilisateurs des boîtes aux lettres. L'éditeur open source Roundcube avait initialement intégré ce composant pour convertir automatiquement les requêtes d'adresses vers les comptes correspondants via des modèles de requêtes SQL configurables. L'analyse technique de la base de données de vulnérabilités montre que ce greffon traite les données fournies par les utilisateurs avant toute étape d'identification. Cette exposition directe permet à une requête forgée d'atteindre le moteur de base de données sans identifiants valides. Les organisations qui maintiennent des instances webmail publiques doivent vérifier immédiatement la présence active de cette extension dans leurs fichiers de configuration.
Une injection SQL contourne le filtrage regex
La faille classée CVE-2026-48842 reçoit un score CVSS de 8,1 en raison d'un défaut de neutralisation des caractères spéciaux. Comme le détaille SentinelOne, le greffon utilisait la fonction PHP preg_replace() avec un échappement par barres obliques inversées au lieu de recourir à des requêtes paramétrées. Un attaquant distant peut transmettre des séquences d'antislashs spécialement conçues pour tromper l'expression régulière, laissant ainsi les guillemets intacts au moment de concaténer la commande SQL finale. Ce vecteur d'accès réseau s'exécute lors du processus d'ouverture de session ou de recherche de compte. Omar Ahmed, responsable de la sécurité de l'information chez Paymob, souligne que l'exploitation permet de modifier le comportement de la base, de lire les carnets d'adresses, d'intercepter les courriels confidentiels et de cartographier les interfaces d'administration.
Des assaillants ciblent les installations accessibles
Des acteurs malveillants exploitent désormais activement cette brèche sur des serveurs connectés à Internet sans protection. D'après les informations rapportées par SecurityWeek, le Centre canadien pour la cybersécurité a émis un avertissement formel sans toutefois publier les détails techniques des attaques observées. Les données de la fondation The Shadowserver Foundation révèlent que plus de 500 000 serveurs Roundcube restent visibles sur le réseau public mondial, bien que la part exacte des déploiements vulnérables demeure non quantifiée. Cet intérêt offensif confirme que les services de messagerie web constituent des cibles de premier plan, dans la continuité des failles CVE-2025-68461, CVE-2025-49113 et CVE-2024-37383 observées par le passé.
La mise à jour neutralise l'intrusion
La résolution complète de l'incident requiert l'application des correctifs publiés par le projet open source. Les versions 1.6.16 pour la branche 1.6 LTS et 1.7.1 pour la branche 1.7, publiées le 24 mai 2026, corrigent la logique d'échappement dans les commits 3406183a et 87124cc7. Lorsque le déploiement immédiat de la nouvelle version s'avère impossible, les mainteneurs recommandent de désactiver temporairement le greffon virtuser_query dans le fichier config/config.inc.php. L'inspection des journaux d'accès web à la recherche de barres obliques inversées ou d'apostrophes dans les formulaires de connexion permet de repérer les tentatives de sondage. Les équipes techniques suspectant une compromission doivent également renouveler les mots de passe de connexion à la base de données.
- 500 000 serveurs Roundcube accessibles depuis Internet recensés par The Shadowserver Foundation The Shadowserver Foundation 2026-09-25
Des rapports de sources ouvertes indiquent que CVE-2026-48842 est exploitée dans la nature.
Le Centre canadien pour la cybersécurité n'a pas diffusé les détails opérationnels des attaques observées, et les statistiques publiques ne précisent pas quelle fraction des 500 000 serveurs répertoriés utilise activement le greffon virtuser_query.
Pour un indépendant ou une petite structure hébergeant son propre serveur Roundcube, la vérification prend moins de quinze minutes : il suffit d'ouvrir le fichier config/config.inc.php pour retirer virtuser_query de la liste des greffons actifs ou d'appliquer sans attendre les versions 1.6.16 ou 1.7.1 disponibles gratuitement.
Mon serveur de messagerie est-il vulnérable si le greffon virtuser_query est inactif ?
Non, la vulnérabilité CVE-2026-48842 se situe exclusivement dans le code de cette extension. Si virtuser_query n'apparaît pas dans la directive plugins de votre configuration, l'injection SQL ne peut pas être déclenchée.
Un pirate doit-il disposer d'un compte de messagerie pour attaquer ?
Aucun identifiant n'est nécessaire. La faille intervient lors du traitement initial de la requête de connexion, ce qui permet à un attaquant non authentifié d'injecter des commandes SQL à distance.
- La faille CVE-2026-48842 permet une injection SQL sans authentification via le greffon virtuser_query.
- Les versions de Roundcube Webmail antérieures à 1.6.16 et 1.7.1 sont la cible d'exploitations en ligne.
- La mise à jour logicielle ou la désactivation immédiate du greffon dans la configuration neutralise l'attaque.