أصدر مشروع Roundcube في 19 أكتوبر 2026 الإصدارين 1.6.20 و1.7.5 مع نحو عشرين إصلاحًا أمنيًا، ونقلتها ديبيان إلى ديبيان 13 (trixie) في 23 أكتوبر ضمن DSA-6579-1. وتذكر ديبيان من الآثار المحتملة: حقن أوامر IMAP، والبرمجة عبر المواقع (XSS)، وتجاوز حماية SSRF، وحقن ترويسات البريد، وحقن خصائص CSS، وتجاوز حظر المحتوى البعيد، وكشف المعلومات، ورفع الصلاحيات.
حصل ديبيان 12 (bookworm) على جولتي Roundcube السابقتين عبر فريق LTS، لكن متتبّع الأمان ما زال حتى 31 أكتوبر 2026 يعرضه كمتأثر بالثغرات العشرين في هذه الجولة. والبريد عبر الويب يستحق التحديث السريع، إذ يضم فهرس CISA للثغرات المستغلة فعليًا عدة ثغرات قديمة في Roundcube، آخرها CVE-2025-49113 وCVE-2025-68461 اللتان أُضيفتا في 20 فبراير 2026.
نظرة سريعة
| البند | التفاصيل |
|---|---|
| الحزمة المصدرية | roundcube (والحزم الثنائية roundcube-core وroundcube-plugins وroundcube-mysql أو roundcube-pgsql أو roundcube-sqlite3 وroundcube) |
| ديبيان 13 (trixie) | أُصلحت في 1.6.20+dfsg-0+deb13u1 ضمن DSA-6579-1 |
| ديبيان 12 (bookworm) | أحدث إصدار 1.6.5+dfsg-1+deb12u12 ضمن DLA-4823-1، وما زال متأثرًا بثغرات DSA-6579-1 |
| الجولات السابقة | أغسطس: DSA-6479-1 وDLA-4760-1. سبتمبر: DSA-6545-1 وDLA-4823-1. |
| الخطورة | عالية (تصل درجة CVSS لدى جهة الترقيم إلى 8.5، ولا ينشر Roundcube تصنيفات) |
ما هي هذه الثغرات؟
تتطلب معظم هذه الثغرات مستخدمًا مسجّل الدخول أو رسالة بريد مصمَّمة. وأعلاها درجةً:
- CVE-2026-114716 (الدرجة 8.5): يستطيع مهاجم مسجّل الدخول وضع محارف CRLF في نوع الوسائط لصورة مضمّنة فيحقن ترويسات MIME في البريد الصادر.
- CVE-2026-114727 (8.3): كانت صيغتا SVG وEPS مقبولتين لصور جهات الاتصال وتُمرَّران إلى ImageMagick، وكلتاهما قد تشير إلى موارد خارجية وتستدعي برامج ImageMagick المساعدة. والإصلاح يزيل هاتين الصيغتين.
- CVE-2026-114724 (7.4): خلل في معالجة الجلسات يمنح مهاجمًا قادرًا على التأثير في بيانات الجلسة المخزنة إمكانية حقن كائنات PHP.
- CVE-2026-114730 (7.2): أغفل مرشح SSRF بادئات NAT64، فكان بإمكان عناوين URL مصمَّمة الوصول إلى عناوين loopback أو link-local أو خدمات البيانات الوصفية السحابية. وتخص الإصدار 1.6.14 وما بعده.
- CVE-2026-113386 وCVE-2026-114720 (7.1): حقن أوامر IMAP عبر محارف CRLF في معاملي الطلب
_uidو_flag.
وتشمل البقية مسارات أخرى لحقن الترويسات، وثغرة XSS في رسائل أخطاء إضافة كلمة المرور، وخللًا في مشغّل Modoboa لكلمات المرور قد يغيّر كلمة مرور حساب آخر (CVE-2026-114715)، وتجاوزًا للمسارات في إضافة squirrelmail_usercopy، وتجاوزًا لحماية CSRF في markasjunk، وتجاوزًا للإعداد disabled_actions، وتجاوزات لحظر المحتوى البعيد، ومشكلة في الدخول بالأسماء البديلة في الإعدادات متعددة الخوادم. ولا توجد أي من الثغرات العشرين في فهرس KEV (نسخة 30 أكتوبر 2026).
هل أنت متأثر؟
dpkg-query -W -f='${Package} ${Version}\n' 'roundcube*'
apt policy roundcube-core
sudo grep -rn plugins /etc/roundcube/*.phpإصدارات trixie الأقدم من 1.6.20+dfsg-0+deb13u1 متأثرة. وعلى bookworm تأكد من أن لديك 1.6.5+dfsg-1+deb12u12 على الأقل، فهو يغطي جولتي أغسطس (DLA-4760-1) وسبتمبر (DLA-4823-1). ويعرض الأمر الأخير الإضافات المفعّلة، إذ يقع عدد من الثغرات في إضافات اختيارية.
طريقة التحديث
sudo apt update
sudo apt install --only-upgrade roundcube roundcube-core roundcube-plugins roundcube-mysql roundcube-pgsql roundcube-sqlite3
apt policy roundcube-coreوعلى bookworm، إلى أن تظهر نشرة DLA لإصلاحات 1.6.20 في صفحة roundcube في المتتبّع:
- عطّل الإضافات التي لا تستخدمها، وخاصة
password(إن كانت تستخدم مشغّل Modoboa) وsquirrelmail_usercopyوmarkasjunk. - أبقِ البريد عبر الويب خلف HTTPS، وفكّر في قصره على شبكاتك أو على شبكة VPN إن سمحت طبيعة مستخدميك بذلك.
- خطط للانتقال إلى trixie حيث تتوفر هذه الإصلاحات بالفعل.
هل يلزم إعادة التشغيل؟
لا حاجة إلى إعادة تشغيل الخادم. Roundcube شيفرة PHP، لذا أعد تحميل الخدمة التي تشغّله حتى لا تبقى شيفرة قديمة في الذاكرة المؤقتة، ثم سجّل الدخول وأرسل رسالة تجريبية:
sudo systemctl reload apache2
# or, with PHP-FPM, for example on trixie:
sudo systemctl restart php8.4-fpmالمصادر
- security-tracker.debian.org/tracker/DSA-6579-1
- debian.org/security/2026/dsa-6579
- lists.debian.org/debian-security-announce/2026/msg00495.html
- security-tracker.debian.org/tracker/DLA-4823-1
- lists.debian.org/debian-lts-announce/2026/10/msg00015.html
- security-tracker.debian.org/tracker/DLA-4760-1
- lists.debian.org/debian-lts-announce/2026/08/msg00051.html
- security-tracker.debian.org/tracker/DSA-6545-1
- security-tracker.debian.org/tracker/DSA-6479-1
- security-tracker.debian.org/tracker/source-package/roundcube
- security-tracker.debian.org/tracker/CVE-2026-113386
- roundcube.net/news/2026/10/19/security-updates-1.6.20-and-1.7.5
- roundcube.net/news/2026/09/06/security-updates-1.6.19-and-1.7.4
- roundcube.net/news/2026/08/09/security-updates-1.6.18-and-1.7.3
- cve.org/CVERecord?id=CVE-2026-114716
- cve.org/CVERecord?id=CVE-2026-114727
- cve.org/CVERecord?id=CVE-2025-49113
- cisa.gov/known-exploited-vulnerabilities-catalog
- packages.debian.org/source/trixie/roundcube
Comments
0 total · 0 threads