Des failles dans Roundcube permettent à des hackers liés à la Chine d’accéder aux e-mails de recherche universitaire

Les départements universitaires de physique et d’ingénierie ne figurent que rarement sur les listes de modèles de menaces, aux côtés des sous-traitants de la défense et des agences fédérales. C’est précisément sur cette négligence que compte UNK_MassTraction. Une étude Proofpoint publiée en juillet 2026 documente une campagne d’espionnage active visant des départements universitaires américains et canadiens menant des recherches en astrophysique, physique des particules et sécurité nationale. Le vecteur d’attaque n’est pas une faille zero-day sophistiquée visant une infrastructure gouvernementale durcie, mais Roundcube, le webmail open source utilisé par des milliers d’institutions de recherche depuis des années, patché de façon irrégulière et considéré comme trop spécialisé pour attirer l’attention d’un État-nation.

Cette hypothèse s’est révélée fausse. La campagne n’est pas opportuniste ; elle est ciblée. UNK_MassTraction est actif depuis au moins mai 2026, et les institutions visées — des programmes de recherche financés par des subventions du DoD dans les sciences physiques et l’ingénierie — sont précisément celles qui manipulent probablement des informations non classifiées contrôlées (CUI) dans leurs échanges par e-mail.

Pour les responsables de la sécurité des universités de recherche, il s’agit à la fois d’un problème de renseignement sur les menaces et de conformité. Le volet renseignement est urgent : appliquez les correctifs sans attendre, analysez les journaux d’authentification et vérifiez si votre infrastructure de messagerie a été compromise. Le volet conformité évolue plus lentement, mais il peut avoir des conséquences majeures : votre institution respecte-t-elle les contrôles NIST 800-171 encadrant la gestion des CUI dans les communications, et pouvez-vous le démontrer à un auditeur CMMC ?

Ces deux questions sont liées. La même instance Roundcube qui n’a pas appliqué les correctifs disponibles échoue probablement aussi aux contrôles d’audit et de traçabilité examinés par les évaluateurs CMMC. Un plan de réponse aux incidents documenté, couvrant spécifiquement le vol d’identifiants par e-mail et la revue post-compromission des accès aux boîtes mail, offre à l’institution la structure opérationnelle nécessaire pour réagir rapidement en cas d’exploitation d’une faille Roundcube.

Résumé de l’article

1. UNK_MassTraction exploite deux vulnérabilités Roundcube pour voler des identifiants dans des départements de recherche universitaires américains et canadiens depuis au moins mai 2026. L’acteur malveillant, aligné sur la Chine et documenté par Proofpoint, cible des programmes de physique, astrophysique et ingénierie de défense en lien direct avec la recherche en sécurité nationale et le financement du DoD.

2. CVE-2024-42009 déploie l’outil de vol d’identifiants IceCube via une faille XSS de Roundcube. Lorsqu’un utilisateur ciblé ouvre l’e-mail piégé, IceCube collecte cookies de session, identifiants de connexion et jetons d’authentification à deux facteurs, offrant aux attaquants un accès persistant à la boîte mail sans déclencher de contrôle d’authentification.

3. CVE-2025-49113 exploite une faille de désérialisation côté serveur pour installer des portes dérobées sur le serveur de messagerie. Les attaquants utilisent cette seconde vulnérabilité pour déployer SquareShell, un webshell PHP, ou VShell, une backdoor basée sur Go, transformant le serveur Roundcube en point d’ancrage persistant sur le réseau de l’université.

4. Les universités bénéficiant de subventions de recherche du DoD manipulent presque à coup sûr des informations non classifiées contrôlées, ce qui implique des obligations CMMC 2.0. Les installations Roundcube auto-hébergées échouent régulièrement aux contrôles NIST 800-171 sur la gestion des correctifs, le chiffrement en transit et la journalisation, exposant l’institution à des risques de conformité en plus du risque d’espionnage. Une évaluation des risques croisant l’état des correctifs Roundcube et les contrôles de l’infrastructure e-mail avec les exigences NIST 800-171 constitue la première étape pour toute institution à risque.

5. Une passerelle e-mail durcie avec analyse des flux entrants élimine le vecteur d’attaque utilisé par IceCube. L’inspection de chaque message entrant avec antivirus, prévention des pertes de données et protection avancée contre les menaces avant la livraison en boîte de réception est la réponse architecturale requise face à ce type de campagne.

Qui est UNK_MassTraction et pourquoi cibler les universités ?

Proofpoint désigne UNK_MassTraction comme un acteur malveillant aligné sur la Chine, dont le comportement correspond aux objectifs de collecte de renseignements des services d’espionnage chinois. Le préfixe « UNK » indique que l’affiliation gouvernementale précise de l’acteur — PLA, MSS ou sous-traitant affilié — n’a pas été confirmée publiquement. En revanche, le profil des cibles et la méthodologie opérationnelle sont connus.

Les cibles ne sont pas choisies au hasard. Les départements universitaires américains et canadiens menant des recherches en astrophysique, physique des particules et ingénierie de défense alimentent directement les filières de recherche en sécurité nationale. Ces programmes produisent des recherches à double usage, fournissent des chercheurs habilités à l’industrie de la défense et bénéficient de financements importants de la DARPA, de l’Office of Naval Research et des programmes de sécurité nationale du Department of Energy.

Les travaux de ces départements — même non classifiés — ont une véritable valeur en matière de renseignement. Résultats préliminaires partagés par e-mail avant relecture par les pairs, accords de collaboration avec des chercheurs de laboratoires nationaux, rapports d’avancement détaillant la méthodologie de recherche… Rien de tout cela n’est classifié au sens conventionnel, mais tout représente une propriété intellectuelle sensible, révélant à un service de renseignement étranger ce sur quoi travaillent les universités américaines, avec qui elles collaborent et dans quelle direction vont leurs recherches.

La logique opérationnelle est simple. Compromettre la boîte mail d’un professeur de physique des particules donne accès à des années de correspondance scientifique, de collaborations internationales et d’échanges informels qui orientent la recherche bien avant la publication des résultats. C’est bien plus utile pour la collecte de renseignements qu’un article scientifique déjà publié, accessible à tous.

Ce qui frappe dans cette campagne, c’est sa durée — active depuis au moins mai 2026, sans signe de perturbation. Cette patience et cette persévérance sont caractéristiques des programmes de collecte sponsorisés par des États. Les menaces persistantes avancées (APT) visant les institutions de recherche ne cherchent pas des gains immédiats et monétisables ; la valeur réside dans la collecte sur la durée. Les groupes criminels motivés par l’argent investissent rarement autant d’efforts sur une cible sans retour rapide.

Deux CVE, deux chaînes d’attaque : comment fonctionnent les exploits

CVE-2024-42009 : XSS et le voleur d’identifiants IceCube

CVE-2024-42009 est une vulnérabilité XSS dans le moteur d’affichage des e-mails de Roundcube. Lorsqu’un utilisateur ciblé ouvre un e-mail malveillant spécialement conçu, le JavaScript embarqué s’exécute dans la session authentifiée du navigateur et charge IceCube, un outil de vol d’identifiants conçu pour l’environnement Roundcube.

IceCube collecte trois éléments : cookies de session actifs, identifiants de connexion enregistrés et jetons d’authentification à deux facteurs présents dans la session. La collecte des cookies de session est l’élément clé. Une fois en possession d’un cookie de session valide, l’attaquant accède à la boîte mail compromise depuis n’importe quel appareil et n’importe quel lieu, sans déclencher de défi d’authentification. Du point de vue du serveur, l’accès paraît légitime. Aucun mot de passe n’a été deviné. Aucun avertissement de connexion n’est généré. Le jeton de session est valide.

L’attaque ne nécessite pas les mécanismes classiques que les défenses anti-phishing détectent habituellement. Pas de page de connexion usurpée, pas de redirection suspecte. Le vol d’identifiants s’effectue silencieusement, en arrière-plan, pendant que l’e-mail s’affiche normalement à l’écran. La victime n’a aucun signe qu’un événement anormal s’est produit. Cette discrétion rend le vol d’identifiants via XSS difficilement détectable par les contrôles orientés utilisateur. Alimenter les plateformes SIEM avec les logs d’événements d’authentification, en signalant l’utilisation de cookies de session depuis de nouveaux appareils ou des zones géographiques inattendues, permet de détecter a posteriori ce type de vol d’identifiants, même si la charge XSS est passée inaperçue.

CVE-2025-49113 : désérialisation côté serveur et portes dérobées persistantes

CVE-2025-49113 agit au niveau du serveur, et non du navigateur de l’utilisateur. Il s’agit d’une vulnérabilité de désérialisation dans le code PHP de Roundcube, permettant à un attaquant envoyant une requête spécialement conçue d’exécuter du code PHP arbitraire sur le serveur.

UNK_MassTraction a été observé déployant deux charges utiles via cette faille. SquareShell est un webshell PHP offrant une exécution persistante de commandes côté serveur — transformant le serveur Roundcube en ressource contrôlée à distance par l’attaquant. VShell est une backdoor basée sur Go, établissant un canal de commande et contrôle furtif vers l’infrastructure de l’attaquant.

Chaque charge utile transforme l’attaque en une compromission bien plus grave qu’un simple accès e-mail. Le serveur héberge désormais une porte dérobée contrôlée par l’adversaire, qui résiste aux réinitialisations de mots de passe, permet des mouvements latéraux vers d’autres systèmes du réseau universitaire et donne accès à des données jamais transmises par e-mail.

L’exploitation combinée des deux vulnérabilités est cohérente du point de vue de la collecte de renseignements. CVE-2024-42009 donne accès au contenu des e-mails et aux identifiants avec un impact serveur minimal — idéal pour une opération où la discrétion prime. CVE-2025-49113 assure une persistance durable et un accès réseau pour des opérations de collecte continue ou d’exploitation plus poussée. Ensemble, elles offrent à UNK_MassTraction un accès total : contenu des e-mails, identifiants et présence réseau persistante. Une violation de données via l’une ou l’autre de ces CVE dans un système e-mail manipulant des CUI déclenche l’obligation de déclaration d’incident DFARS 252.204-7012 dans les 72 heures suivant la découverte — le délai court à partir de la découverte, pas de la confirmation de l’exfiltration.

Pourquoi l’auto-hébergement de Roundcube pose problème dans les institutions de recherche

Roundcube n’est pas un choix négligent en soi. C’est une application de webmail open source performante et largement déployée. Le problème réside dans le modèle de déploiement et de support qui l’entoure dans la plupart des universités de recherche.

L’auto-hébergement de Roundcube dans une institution de recherche signifie généralement un serveur géré par un service informatique disposant de peu de ressources dédiées à la sécurité, un rythme de patching dicté par des priorités opérationnelles concurrentes et l’absence d’infrastructure de sécurité e-mail en amont de la livraison des messages.

CVE-2024-42009 a été divulguée en 2024. CVE-2025-49113 porte la désignation 2025. UNK_MassTraction exploite les deux failles contre des institutions qui, à la mi-2026, n’ont pas appliqué les correctifs disponibles. Il ne s’agit pas d’un scénario zero-day, mais d’un échec de gestion des correctifs dans des environnements où la mise à jour de sécurité des applications tierces n’est pas systématiquement priorisée. C’est un constat sur les ressources, pas un jugement sur la compétence. Les services informatiques universitaires sont mobilisés sur de nombreux fronts.

Au-delà de l’absence de patching, les déploiements Roundcube auto-hébergés dans les institutions de recherche manquent généralement de plusieurs contrôles considérés comme standards dans les environnements e-mail d’entreprise modernes :

• Inspection des menaces sur les e-mails entrants. Roundcube n’intègre pas d’ATP, de DLP ni de solution antivirus de niveau entreprise dans la chaîne d’e-mails entrants. Les messages sont livrés dans les boîtes de réception sans inspection du contenu, ce qui laisse passer les charges JavaScript malveillantes. Toute la chaîne d’attaque CVE-2024-42009 dépend de la livraison et du rendu de l’e-mail malveillant dans Roundcube. Une couche d’inspection en amont stoppe cette chaîne dès l’entrée.
• Journaux d’audit inviolables. Une enquête après compromission d’identifiants nécessite des logs centralisés et fiables des événements d’authentification, de l’activité de session et des accès aux boîtes mail. Les déploiements Roundcube auto-hébergés n’acheminent souvent pas les logs applicatifs vers un système centralisé et inviolable, rendant la reconstitution post-incident incertaine et l’attestation réglementaire difficile.
• Application du chiffrement des e-mails. De nombreuses configurations auto-hébergées n’imposent pas le TLS en entrée comme politique stricte, exposant les communications contenant des données sensibles ou des CUI à des risques d’interception.

Chacune de ces lacunes constitue aussi un échec de conformité NIST 800-171. Les institutions soumises à l’ITAR pour des données techniques à contrôle d’exportation dans leurs communications de recherche sont encore plus exposées — une livraison d’e-mail non chiffrée ou un accès à la boîte mail non surveillé pour des spécifications techniques liées à la défense peut constituer une exportation non autorisée au regard de l’Arms Export Control Act.

Le problème de conformité CMMC caché derrière cette campagne

De nombreux responsables conformité et équipes de sécurité IT universitaires n’ont pas répondu précisément à cette question : cette institution manipule-t-elle des informations non classifiées contrôlées dans ses communications e-mail ?

Pour les départements de physique, d’ingénierie et d’astrophysique bénéficiant de subventions de recherche du DoD — précisément la cible d’UNK_MassTraction — la réponse est presque toujours oui. Les subventions de recherche financées par le DoD impliquent régulièrement des catégories de CUI incluant des spécifications techniques à double usage ou à contrôle d’exportation, des données de recherche liées à des programmes de sécurité nationale et la coordination avec des chercheurs habilités dans des laboratoires nationaux ou chez des sous-traitants de la défense. Les clauses DFARS dans les accords de subvention imposent les obligations CMMC et NIST 800-171 à l’institution bénéficiaire, quelle que soit sa nature (commerciale, associative ou académique).

La conformité CMMC 2.0 impose aux institutions manipulant des CUI de démontrer le respect du NIST 800-171 sur 110 contrôles. Les déploiements Roundcube auto-hébergés, dans la configuration typique des institutions de recherche, échouent à au moins trois familles de contrôles NIST 800-171 directement concernées par la campagne UNK_MassTraction :

• Contrôle 3.14.1 — Correction des failles. Les institutions doivent identifier, signaler et corriger les failles des systèmes d’information en temps utile. Utiliser Roundcube sans appliquer les correctifs pour CVE-2024-42009 et CVE-2025-49113 ne respecte pas ce contrôle. Ce n’est pas une simple lacune procédurale — c’est précisément la faille exploitée par UNK_MassTraction.
• Contrôle 3.13.8 — Confidentialité des transmissions. Les organisations doivent mettre en œuvre des mécanismes cryptographiques pour empêcher toute divulgation non autorisée de CUI lors de la transmission. Si Roundcube n’impose pas le TLS comme politique stricte à l’entrée pour toutes les communications impliquant des CUI, ce contrôle n’est pas respecté. Le chiffrement AES-256 des e-mails au repos — et pas seulement en transit — ajoute une couche qui limite la valeur du vol de cookies de session, même si le vol d’identifiants réussit.
• Contrôles 3.3.1 à 3.3.9 — Audit et traçabilité. Le référentiel exige la création et la conservation de journaux d’audit permettant la surveillance, l’analyse, l’investigation et le reporting des activités non autorisées. Un déploiement Roundcube auto-hébergé sans journalisation centralisée et inviolable des événements d’authentification, des accès de session et de la livraison des e-mails ne peut satisfaire ces contrôles.

La conformité CMMC Niveau 2 impose une évaluation tierce pour les organisations manipulant des CUI dans le cadre de contrats et subventions DoD. Si une évaluation révèle ces failles de contrôle dans le contexte d’une violation ayant exposé des données de recherche du DoD, les conséquences dépassent largement la simple réponse à incident. Des sanctions DFARS peuvent s’appliquer. Une institution incapable de prouver sa conformité CMMC risque de perdre son éligibilité à de futures subventions de recherche du DoD — un enjeu financier majeur pour des programmes dont le budget dépend largement des financements fédéraux. Les obligations de gestion des risques supply chain s’étendent aussi aux partenaires et sous-traitants de recherche : une institution conforme CMMC qui continue d’échanger des CUI via Roundcube avec un partenaire non évalué porte un risque tiers que son propre programme de conformité ne peut couvrir.

Ce qu’apporte une plateforme e-mail durcie que Roundcube auto-hébergé ne peut offrir

L’écart entre une installation webmail open source auto-hébergée et une plateforme e-mail conforme ne relève pas de la configuration, mais de l’architecture — en particulier, de la capacité de la plateforme à fonctionner dans des environnements réglementés où la posture de sécurité doit être auditée et documentée de façon indépendante.

La passerelle de protection e-mail Kiteworks est une passerelle e-mail entrante et sortante conçue pour les organisations ayant des exigences strictes en matière de conformité et de sécurité. Chaque message entrant est scanné avec antivirus, DLP et ATP avant d’atteindre la boîte de réception de l’utilisateur.

Dans le scénario UNK_MassTraction, cela a un impact concret. Le voleur IceCube est livré via un e-mail soigneusement conçu, contenant un script JavaScript destiné à exploiter CVE-2024-42009 lors de l’affichage dans Roundcube. Une passerelle e-mail qui inspecte le contenu entrant avant livraison — en analysant les scripts embarqués et la structure du message pour détecter les schémas malveillants — identifie et met en quarantaine la charge avant qu’elle n’atteigne la boîte de réception. La chaîne d’attaque de CVE-2024-42009 nécessite que l’e-mail piégé soit livré et affiché dans le client mail ; la passerelle EPG interrompt cette chaîne à la livraison.

Au-delà de l’analyse des flux entrants, la plateforme Kiteworks répond aux failles de contrôle NIST 800-171 spécifiques aux déploiements Roundcube auto-hébergés :

• Autorisation FedRAMP Moderate. Kiteworks détient l’autorisation FedRAMP Moderate, ce qui signifie que ses contrôles de sécurité ont été évalués de façon indépendante selon le référentiel FedRAMP Moderate — le niveau requis pour les systèmes cloud traitant des CUI fédérales. Pour une université manipulant des CUI du DoD dans ses e-mails, une plateforme autorisée FedRAMP Moderate offre une conformité vérifiée et auditable qu’aucune installation auto-hébergée ne peut garantir via un simple plan de sécurité système.
• Couverture des contrôles NIST 800-171. La gestion des correctifs est assurée au niveau de la plateforme par Kiteworks, sans exiger du personnel IT qu’il maintienne l’application à jour — ce qui répond directement au contrôle 3.14.1. Le TLS est imposé par défaut sur toutes les communications. Tous les événements e-mail sont journalisés dans un système centralisé et infalsifiable, satisfaisant les exigences d’audit et de traçabilité des contrôles 3.3.1 à 3.3.9. Des contrôles d’accès granulaires appliqués au niveau de la passerelle e-mail garantissent que seuls les utilisateurs autorisés et vérifiés accèdent aux boîtes mail contenant des CUI — une condition préalable aux contrôles du domaine AC du NIST 800-171, que Roundcube auto-hébergé ne peut remplir nativement.
• Architecture Zero trust pour la gestion des sessions. Les jetons de session sont validés en continu selon l’identité de l’appareil, le contexte réseau et les signaux comportementaux — et non simplement acceptés comme valides à la présentation. Un cookie de session volé par IceCube depuis un autre appareil ou une autre zone géographique déclencherait un défi ou une invalidation, et non un accès sans restriction.

Pour les institutions du Defense Industrial Base — y compris les universités de recherche qui fournissent talents et résultats scientifiques à la sécurité nationale — la sécurité e-mail ne peut être considérée comme une simple fonction IT. Elle implique des obligations de conformité et, comme le montre cette campagne, elle constitue une cible active de collecte de renseignements.

Pour en savoir plus sur la façon dont Kiteworks protège les institutions de recherche manipulant des communications sensibles face aux menaces étatiques et aux risques de conformité CMMC, réservez votre démo sans attendre.

Ressources complémentaires

• Article de blog
  Conformité CMMC pour les petites entreprises : défis et solutions
• Article de blog
  Guide de conformité CMMC pour les fournisseurs du DIB
• Article de blog
  Exigences d’audit CMMC : ce que les évaluateurs attendent pour évaluer votre préparation
• Guide
  Cartographie de la conformité CMMC 2.0 pour les communications de contenu sensible
• Article de blog
  Le vrai coût de la conformité CMMC : à quoi doivent s’attendre les sous-traitants de la défense