Veille sécuritéBackend & données
P3Élevée
Une primitive d’injection d’objet PHP a été identifiée dans rcube_session::unserialize() de Roundcube Webmail. Les versions antérieures à 1.6.20 ainsi que les versions 1.7.x antérieures à 1.7.5 sont affectées.
PHP
IdentifiantCVE-2026-114724
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif1.6.20; 1.7.5
Source : NVD — CVE-2026-114724
Analyse technique
Une clé de session préfixée par « ! » peut désynchroniser la reconstruction des données sérialisées et faire interpréter les données suivantes comme une valeur sérialisée. Le correctif amont rejette ces clés.
Impact, versions et correctif
Événement datéRetenu comme nouvelle vulnérabilité : la fiche indique une publication le 2026-10-22 à 02:17:00.343Z, soit le 2026-10-22 à 04:17:00.343+02:00, dans la période demandée.
ImpactDes données de session contrôlées peuvent être interprétées comme une valeur sérialisée et déclencher une injection d’objet PHP.
Versions affectéesAvant 1.6.20 et versions 1.7.x avant 1.7.5
Version corrigée1.6.20; 1.7.5
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.4
EPSS0,26% · percentile 17,0%
Publication2026-10-22T04:17:00.343+02:00
Mise à jour2026-10-22T18:45:49.550+02:00
Action recommandée
Mettre à niveau vers Roundcube 1.6.20 ou ultérieure, ou vers 1.7.5 ou ultérieure pour la branche 1.7.x.
Sources
Priorisation DFS : P3 · 1 source(s).