Deux vulnérabilités de l'Email Security Gateway de Barracuda pourraient donner aux attaquants le contrôle des appliances affectées au niveau root en combinant un contournement d'autorisation et une injection de commandes.
Barracuda Networks a publié le 2 novembre 2026 des correctifs de sécurité pour CVE-2026-116606 et CVE-2026-111560. Six familles de produits sont concernées, mais seul l'Email Security Gateway (ESG) est vulnérable aux deux failles, ce qui crée un chemin d'attaque potentiel allant de modifications de configuration non autorisées à l'exécution de commandes privilégiées.
Dans son avis de sécurité, Barracuda indique que l'exploitation nécessite un accès réseau à l'interface d'administration d'une appliance affectée. L'entreprise recommande de restreindre l'accès à la gestion et de vérifier que les correctifs de sécurité applicables sont installés.
Comment les failles de Barracuda pourraient conduire à un accès root
CVE-2026-116606 est un contournement d'autorisation pré-authentification qui affecte l'ESG. Un attaquant distant non authentifié pourrait restaurer une archive de sauvegarde compatible spécialement conçue via une fonction d'importation de configuration, et modifier sans autorisation les paramètres globaux de l'appliance. Selon la publication technique de Mandiant.
CVE-2026-111560 est une vulnérabilité d'injection de commandes liée à la mauvaise gestion des métacaractères du shell dans le champ de configuration du fuseau horaire. Un administrateur authentifié pourrait injecter des commandes qui s'exécutent avec les privilèges root lors du traitement de la valeur modifiée. La publication distincte de Mandiant lui attribue un score CVSS v4.0 de 8,6, correspondant à une gravité élevée.
L'enchaînement des failles pourrait donner aux attaquants le contrôle de l'ESG au niveau root. Par ailleurs, des attaques contre l'infrastructure de gestion des pare-feu Cisco ont montré comment des systèmes d'administration de la sécurité compromis peuvent exposer des identifiants et des réseaux internes. Au 5 novembre 2026, aucune des deux vulnérabilités de Barracuda n'avait été associée à une exploitation confirmée publiquement.
Produits Barracuda concernés et correctifs de sécurité
Le contournement d'autorisation affecte uniquement l'ESG. La faille d'injection de commandes touche cinq autres familles de produits, dont l'exploitation nécessite indépendamment des privilèges d'administration.
Barracuda a publié les correctifs suivants :
| Produit concerné | Correctif de sécurité |
|---|---|
| Email Security Gateway | BNSF-40425 ou BNSF-40430 |
| Load Balancer ADC | BNADC-16586 |
| Message Archiver | BNMA-32468 |
| WAF Control Center | BNWF-60060 |
| Web Application Firewall | BNADC-16586 |
| Web Security Gateway | BNYF-24789 |
La documentation de mise à jour de l'ESG de Barracuda indique que le firmware 9.4.0.029 ou ultérieur est corrigé, tandis que Mandiant considère comme vulnérables les versions antérieures à 9.4.0.030. Les administrateurs doivent confirmer que les correctifs de sécurité applicables sont installés et contacter le support de Barracuda si ces indications de version contradictoires laissent planer un doute sur l'état de protection de leurs appareils.
Hiérarchiser les vulnérabilités selon leur exploitabilité et leur exposition peut aider à déterminer quelles appliances nécessitent une intervention immédiate. Les équipes de sécurité doivent :
- Vérifier les correctifs de sécurité : Confirmer leur installation et activer les mises à jour automatiques lorsque cela est approprié. Les anciens firmwares peuvent nécessiter des mises à niveau successives.
- Restreindre l'accès à la gestion : Maintenir les interfaces d'administration hors de l'Internet public, segmenter les réseaux de gestion et limiter l'accès aux systèmes de confiance.
- Renforcer les contrôles administratifs : Appliquer le principe du moindre privilège et l'authentification multifacteur lorsqu'elle est prise en charge. L'AMF n'empêche pas le contournement d'authentification.
- Surveiller les activités suspectes : Examiner les importations de configuration inhabituelles, les restaurations de sauvegarde, les changements de fuseau horaire, les comptes inconnus et les connexions sortantes inattendues.
- Valider l'intégrité de la configuration : Comparer les paramètres à des références connues comme fiables et conserver des sauvegardes sécurisées de la configuration.
- Tester les plans de réponse aux incidents : Conserver les journaux et vérifier les procédures d'analyse, d'isolement et de récupération des appliances potentiellement compromises.
Les attaques précédentes impliquant des protections WAF contournées et des logiciels d'entreprise non corrigés démontrent les limites des défenses réseau. Les clients de Barracuda doivent confirmer l'installation des correctifs et restreindre l'accès à la gestion afin de réduire leur exposition à la chaîne d'attaque décrite.
En savoir plus : une faille zero-day exploitée du serveur de gestion Check Point montre comment les vulnérabilités de l'infrastructure d'administration de la sécurité peuvent exposer les organisations à une exécution de code non autorisée.