![\"Mascote](\"\/wp-content\/uploads\/2026\/09\/roundcube-historia-v2.webp\")
<\/p>\n<\/p>\n
O Roundcube nasceu num projeto pessoal na Su\u00ed\u00e7a, em julho de 2005: um webmail IMAP em PHP que usava Ajax de verdade, n\u00e3o um formul\u00e1rio CGI. A primeira est\u00e1vel saiu em 4 de mar\u00e7o de 2008. A 1.0, em 7 de abril de 2014. Em 10 de maio de 2026 chegou a 1.7. Em 6 de setembro de 2026 \u2014 o dia em que este texto foi publicado \u2014 sa\u00edram os patches 1.7.4<\/strong> and 1.6.19<\/strong>. \u00c9 o webmail que o cPanel p\u00f4s no lugar do SquirrelMail, que o ISPConfig empacota e que o Nextcloud adotou em 2023.<\/p>\n <\/p>\n Thomas Bruederli, engenheiro su\u00ed\u00e7o, cansou do webmail da \u00e9poca: texto formatado, reload a cada clique, cara de 1999. O navegador j\u00e1 fazia XMLHttpRequest. Ele quis um cliente IMAP que parecesse aplicativo \u2014 arrastar mensagem, endere\u00e7o que completa enquanto se digita, HTML de verdade \u2014 rodando num LAMP qualquer.<\/p>\n Em 17 de junho de 2005 o site j\u00e1 mostrava screenshots da alpha. Em 21 de julho de 2005<\/strong> saiu o 0.1-alpha<\/a> no SourceForge: \u201c\u00e9 s\u00f3 desenvolvimento e provavelmente bem buggy\u201d. Em 7 de outubro, SQLite, PostgreSQL e as primeiras tradu\u00e7\u00f5es (franc\u00eas, italiano, espanhol, dinamarqu\u00eas, holand\u00eas). Em 19 de fevereiro de 2006, o 0.1-beta. Dois anos de nightly. Sem roadmap corporativo. \u201cAconteceu naturalmente\u201d, disse Thomas em 2023, na entrevista com o Nextcloud.<\/p>\n O an\u00fancio oficial: depois de mais de dois anos, a primeira vers\u00e3o considerada boa para produ\u00e7\u00e3o. Ainda n\u00e3o era o webmail dos sonhos \u2014 o pr\u00f3prio texto admite. O compositor HTML no TinyMCE vinha ligado, mas experimental. E era a \u00faltima release em PHP 4<\/strong>: o projeto GoPHP5 pedia PHP 5, e o Roundcube obedeceu a partir da 0.2.<\/p>\n Em 9 de junho de 2008 a 0.2-alpha j\u00e1 trazia sanitiza\u00e7\u00e3o DOM do HTML (o XSS de mensagem \u00e9 o fantasma de todo webmail) e largava o PHP 4. Em 30 de dezembro, a 0.2-stable: script de upgrade, uns 80 bugs. Da\u00ed a s\u00e9rie 0.x andou um ano sim, um ano n\u00e3o \u2014 0.3 (set\/2009), 0.4 (ago\/2010), 0.5 (jan\/2011) \u2014 at\u00e9 a 0.9 em abril de 2013, j\u00e1 com o Roundcube Framework separado e PDO no lugar do PEAR:MDB2.<\/p>\n Arquitetura chata, de prop\u00f3sito. Apache\/nginx + PHP. IMAP para ler, SMTP para mandar. MySQL, PostgreSQL ou SQLite para sess\u00e3o, contatos e prefer\u00eancias. Sem servidor de correio pr\u00f3prio: o Roundcube \u00e9 a cara, n\u00e3o o Postfix. Interface em XHTML\/CSS, skins, plugins. GPL-3.0-or-later, com exce\u00e7\u00e3o para skins e plugins de terceiros.<\/p>\n O Ajax era o recado de 2005: a lista de mensagens n\u00e3o recarrega a p\u00e1gina inteira, o endere\u00e7o completa, o anexo sobe em drag-and-drop (isso veio depois, na 0.9). Mais de 70 idiomas. vCard, LDAP, pastas compartilhadas com ACL, identidades, PGP via Mailvelope, OAuth. Em 2009 dois desenvolvedores do n\u00facleo citaram a Universidade de Michigan com mais de 70 mil contas \u2014 o maior deploy que conheciam.<\/p>\n Under 7 de abril de 2014<\/strong> Thomas anunciou a 1.0.0 na lista: \u201cdepois de mais de oito anos desde a publica\u00e7\u00e3o inicial, nos sentimos seguros para chamar de one-dot-oh.\u201d Configura\u00e7\u00e3o numa arquivo s\u00f3, import de mensagens, LDAP avan\u00e7ado, rascunho no localStorage, respostas prontas, teclado na lista, lembrete de anexo. Nascia o reposit\u00f3rio de plugins. A cerveja do an\u00fancio era literal.<\/p>\n O cPanel \u2014 e, com ele, HostGator, OVH, Gandi e uma gera\u00e7\u00e3o de pain\u00e9is de hospedagem \u2014 adotou o Roundcube no lugar do SquirrelMail. No Linux de servidor, o cubo virou o webmail default de quem n\u00e3o queria Horde nem Zimbra. O ISPConfig no Debian<\/a> empacota o mesmo cliente; o curso de e-mail com Postfix<\/a> \u00e9 o ch\u00e3o em que ele pisa.<\/p>\n Em 3 de maio de 2015, Roundcube e Kolab Systems AG anunciaram uma reescrita: calend\u00e1rio, chat, arquivos, WebRTC, conectores Dropbox\/ownCloud. A campanha pedia US$ 80 mil. Em 24 de junho a meta bateu; o total foi US$ 103.541<\/strong>. Em 2016 o desenvolvimento parou. Backers sem update, sem reembolso. Phoronix cobriu o atraso em 2016 e o cad\u00e1ver em 2018. Num issue do GitHub, um desenvolvedor do Roundcube disse que o projeto n\u00e3o tinha ownership<\/em> da campanha Next \u2014 apesar do nome e da p\u00e1gina. O 1.x cl\u00e1ssico, PHP e IMAP, \u00e9 o que sobreviveu.<\/p>\n Aleksander Machniak (Alec), da Kolab, assina as releases de 2026. Thomas foi sumindo \u00e0 medida que os filhos nasceram: \u201co tempo fora do trabalho mudou de lado.\u201d<\/p>\n A 1.4.0 saiu em 9 de novembro de 2019<\/strong>. Depois de mais de dois anos de trabalho do Alec e volunt\u00e1rios, o skin Elastic<\/strong> \u2014 LESS, responsivo, celular \u2014 virou o default. Bounce de e-mail, Mailvelope melhor, Redis\/Memcached, SMTPUTF8, GSSAPI. O an\u00fancio pedia para customizar cores do Elastic: webmail com cara de Gmail gen\u00e9rico \u00e9 convite a phishing.<\/p>\n A 1.6.0 (28 de julho de 2022) limpou o c\u00f3digo e abra\u00e7ou PHP 8.1, largando PHP < 7.3. A 1.5.x morreu de suporte. A 1.6 virou LTS quando a 1.7 nasceu.<\/p>\n Thomas procurou o Frank Karlitschek. \u201cFoi o primeiro nome que veio \u00e0 cabe\u00e7a.\u201d O Nextcloud virou steward: contratar gente, f\u00f3rum pr\u00f3prio, o cubo continua produto separado \u2014 n\u00e3o substitui o Nextcloud Mail, n\u00e3o vira um plugin obrigat\u00f3rio. A ideologia \u00e9 a mesma: self-host, IMAP seu, sem Gmail no meio. Harvard, Cambridge e a Comiss\u00e3o Europeia aparecem no an\u00fancio do Nextcloud como usu\u00e1rios; o cubo j\u00e1 estava em painel de hospedagem e em NAS Synology muito antes do casamento.<\/p>\n A 1.7.0 (10 de maio de 2026) exigiu PHP \u2265 8.1, matou Internet Explorer, SQL Server e Oracle, e tornou obrigat\u00f3rio o document root em Webmail que renderiza HTML de desconhecido \u00e9 superf\u00edcie de XSS. Em 2023 o grupo Winter Vivern (TA473) explorou XSS no Roundcube contra governos europeus: abrir o e-mail bastava. O APT28 russo usou a mesma classe contra servidores ucranianos. Em fevereiro de 2026 a CISA avisou explora\u00e7\u00e3o ativa; os patches foram 1.6.13 e 1.5.13. Em 6 de setembro de 2026 sa\u00edram 1.6.19 e 1.7.4<\/a> (CSS smuggling, inje\u00e7\u00e3o de header, XSS em TNEF\/editor). N\u00e3o \u00e9 drama de marketing: \u00e9 o of\u00edcio. Quem deixa 1.5.x no ar est\u00e1 fora de suporte.<\/p>\n Debian\/Ubuntu ainda empacotam Subir vers\u00e3o: backup do Um su\u00ed\u00e7o, um alpha de 2005, um cubo isom\u00e9trico. O Next de 2015 n\u00e3o veio. O 1.x veio, o Elastic veio, o Nextcloud veio, o patch de setembro de 2026 veio. O recado n\u00e3o mudou: o e-mail continua IMAP na sua m\u00e1quina, e a cara no browser ainda pode ser software livre.<\/p>\n Site: roundcube.net<\/a> \u00b7 c\u00f3digo: github.com\/roundcube\/roundcubemail<\/a> \u00b7 1.7.4: releases\/tag\/1.7.4<\/a> \u00b7 entrevista Thomas\/Frank: Nextcloud, nov\/2023<\/a>.<\/p>","protected":false},"excerpt":{"rendered":" O Roundcube nasceu num projeto pessoal na Su\u00ed\u00e7a, em julho de 2005: um webmail IMAP em PHP que usava Ajax de verdade, n\u00e3o um formul\u00e1rio CGI. A primeira est\u00e1vel saiu em 4 de mar\u00e7o de 2008. A 1.0, em 7 de abril de 2014. Em 10 de maio de 2026 chegou a 1.7. Em 6 … Read more<\/a><\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[78,2,111,120],"tags":[79,242,296,295,237,293,294],"class_list":["post-630","post","type-post","status-publish","format-standard","hentry","category-email","category-linux","category-opensource","category-servidores","tag-email","tag-imap","tag-kolab","tag-nextcloud","tag-php","tag-roundcube","tag-webmail"],"_links":{"self":[{"href":"https:\/\/www.linuxpro.com.br\/en\/wp-json\/wp\/v2\/posts\/630","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.linuxpro.com.br\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.linuxpro.com.br\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.linuxpro.com.br\/en\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.linuxpro.com.br\/en\/wp-json\/wp\/v2\/comments?post=630"}],"version-history":[{"count":2,"href":"https:\/\/www.linuxpro.com.br\/en\/wp-json\/wp\/v2\/posts\/630\/revisions"}],"predecessor-version":[{"id":1180,"href":"https:\/\/www.linuxpro.com.br\/en\/wp-json\/wp\/v2\/posts\/630\/revisions\/1180"}],"wp:attachment":[{"href":"https:\/\/www.linuxpro.com.br\/en\/wp-json\/wp\/v2\/media?parent=630"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.linuxpro.com.br\/en\/wp-json\/wp\/v2\/categories?post=630"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.linuxpro.com.br\/en\/wp-json\/wp\/v2\/tags?post=630"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Um side-project em 2005<\/h2>\n
0.1-stable: 4 de mar\u00e7o de 2008<\/h2>\n
O que o cubo faz<\/h2>\n
1.0, oito anos depois<\/h2>\n
Roundcube Next: o crowdfunding que n\u00e3o chegou<\/h2>\n
Elastic, o cubo no bolso<\/h2>\n
Nextcloud, 29 de novembro de 2023<\/h2>\n
1.7 e o pre\u00e7o do HTML<\/h2>\n
public_html\/<\/code> \u2014 os est\u00e1ticos passam por static.php<\/code>. Markdown na composi\u00e7\u00e3o, busca avan\u00e7ada, menu r\u00e1pido na lista, OAuth2\/OIDC de verdade (discovery, logout).<\/p>\nNo Linux, hoje<\/h2>\n
roundcube<\/code> \u2014 costuma atrasar da upstream. O caminho de quem manda no servidor \u00e9 o tarball de roundcube.net\/download<\/a> ou a imagem Docker oficial, apontando o virtual host para public_html\/<\/code> na 1.7. IMAP e SMTP j\u00e1 existentes (Dovecot + Postfix, o combo do ISPConfig<\/a>). Banco \u00e0 parte. Plugin s\u00f3 do reposit\u00f3rio ou do GitHub do projeto \u2014 o cemit\u00e9rio de plugins 2012 \u00e9 o outro XSS.<\/p>\n# conferir o que o painel instalou\ndpkg -l 'roundcube*' 2>\/dev\/null\n# a s\u00e9rie que ainda recebe patch em setembro de 2026: 1.6 LTS e 1.7\n<\/code><\/pre>\nconfig\/config.inc.php<\/code> e do banco, ler o UPGRADING<\/code> da tag, n\u00e3o pular a 1.7 sem testar o document root novo.<\/p>\nO que ficou<\/h2>\n