SakerCP SKSA-2026-001 Webmail (Roundcube)
- Publicado
- 2026-10-24
- Actualizado
- 2026-10-24
- Componente
- Webmail (Roundcube)
- Gravidade
- Alta
- Estado
- Corrigida: actualize
- CVE
- ainda sem CVE atribuída
- Afectadas
- SakerCP com o Roundcube 1.7.4: todas as versões anteriores a 0.1.0-0.202610241714.git043c4ff79ca2.
- Corrigida em
SakerCP 0.1.0-0.202610241714.git043c4ff79ca2
Resumo
O Roundcube 1.7.5, a versão de segurança publicada pela equipa do Roundcube a 19 Out 2026, corrige várias falhas no webmail: injecção de comandos IMAP, injecção de cabeçalhos de correio, injecção de objectos na sessão, desvios ao bloqueio de conteúdo remoto e ao filtro de SSRF, e o envio de anexos não verificados ao ImageMagick.
Pormenores
O SakerCP instala o Roundcube a partir da versão oficial, com a assinatura GPG da equipa do Roundcube verificada, num PHP-FPM próprio que corre como um utilizador só do webmail, sem funções que lancem processos e numa origem separada (:2096). Isto limita o alcance das falhas, mas não as anula: a correcção é instalar a 1.7.5.
O que fazer
Nenhuma, se as actualizações automáticas estiverem ligadas (por omissão): a versão corrigida instala-se sozinha e troca o Roundcube. Para a instalar já: sakercp-update como root. Para confirmar: grep RCMAIL_VERSION /opt/sakercp/share/roundcube/program/include/iniset.php deve mostrar 1.7.5.
Cronologia
- A equipa do Roundcube publica a 1.7.5.
- A nossa vigia diária detecta a versão nova; a 1.7.5 entra no SakerCP e é instalada no laboratório.
- No laboratório, a actualização deixou o webmail em erro (um problema de permissões no instalador, não do Roundcube); corrigido e ensaiado antes de qualquer servidor a receber.
- Ensaio completo verde no laboratório (correio, webmail, phpMyAdmin, sites, PHP, DNS). Correcção publicada como actualização crítica: os servidores com actualizações automáticas instalam-na em minutos.