# CVE-2026-111560 : Vulnérabilité Barracuda activement exploitée

_Publié le 10 novembre 2026 — https://ip73.fr/2026/11/10/cve-2026-111560-vulnerabilite-barracuda-activement-exploitee/_

L'agence CISA a ajouté la CVE-2026-111560 à son catalogue des vulnérabilités connues et exploitées (KEV). Cette faille affecte plusieurs produits Barracuda Networks, dont l'Email Security Gateway (ESG), le Load Balancer, l'Application Delivery Controller (ADC), le Message Archiver (BMA), le WAF Control Center (WCC), le Web Application Firewall (WAF) et le Web Security Gateway (WSG). Le risque est sérieux : elle permet à un administrateur authentifié d'injecter des commandes système qui s'exécuteront avec les privilèges root, si une valeur de fuseau horaire malformée est traitée par le système.

Cette vulnérabilité, classée avec un score CVSS de 8,6, résulte d'une mauvaise neutralisation des métacaractères de shell dans le champ de configuration du fuseau horaire. Ce défaut de sécurité est présent dans le code commun utilisé par ces différents équipements Barracuda. D'après les informations techniques, l'attaquant doit disposer d'un accès administrateur pour exploiter cette injection de commande.

## Le danger d'une chaîne d'attaques

La criticité de cette alerte réside dans sa capacité à être combinée. Des analyses révèlent qu'une autre vulnérabilité, CVE-2026-116606, cible spécifiquement le ESG. Cette seconde faille, notée à 9,3 sur le CVSS, constitue un défaut de contournement d'authentification. Si un attaquant réussit à exploiter CVE-2026-116606 en premier lieu, il peut potentiellement obtenir un accès root, puis utiliser CVE-2026-111560 pour consolider ou étendre son contrôle sur l'équipement. Mandiant indique que cette faille ESG peut être exploitée sans authentification, contredisant l'avis de Barracuda.

## Qui est touché et les impératifs de correction

Les équipements concernés sont variés : ESG, Load Balancer, ADC, Message Archiver, WCC, WAF et WSG. Barracuda conseille aux organisations de restreindre l'accès aux interfaces d'administration uniquement aux réseaux internes de confiance. Cependant, l'urgence est dictée par le statut KEV de CISA, qui confirme une exploitation active. Pour les agences fédérales américaines, une échéance stricte est fixée au 13 novembre 2026 pour appliquer les correctifs.

Bien que les sources n'indiquent pas que ces failles aient été utilisées par des rançongiciels, le fait que CISA l'ait répertoriée signifie qu'une exploitation active est observée dans le cyberespace. Les responsables des systèmes doivent évaluer précisément l'exposition de chaque actif sur Internet et s'assurer que les directives de patch management de CISA sont respectées.

## Que faire maintenant

La priorité absolue est la mise à jour. Les fournisseurs ont publié des correctifs, et les clients sont priés de s'assurer que toutes les mises à jour disponibles sont installées manuellement, surtout si les systèmes de patch automatique sont désactivés. Il faut également suivre les directives de CISA concernant la priorisation des mises à jour en fonction du risque. Si les correctifs ne sont pas disponibles pour un environnement spécifique, il faut envisager de déconnecter l'appareil de toute exposition publique, conformément aux recommandations de l'agence.

## Fiche technique

| CVE | Produit | Gravité | Exploitée activement | Versions corrigées |
|---|---|---|---|---|
| CVE-2026-111560 | — | Élevée (CVSS 8,6) | Non signalée | Voir l’avis de l’éditeur |
| CVE-2026-116606 | — | Critique (CVSS 9,3) | Non signalée | Voir l’avis de l’éditeur |

*Données : [NVD](https://nvd.nist.gov/) (NIST) et [GitHub Advisory Database](https://github.com/advisories) ([CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.fr), données adaptées).*

## Sources

- [CISA Adds Four Known Exploited Vulnerabilities to Catalog](https://www.cisa.gov/news-events/alerts/2026/11/09/cisa-adds-four-known-exploited-vulnerabilities-catalog), CISA, 9 novembre 2026
- [Barracuda ESG Authentication Bypass Flaw Opens Path to Root](https://www.securityweek.com/barracuda-email-security-gateway-authentication-bypass-opens-path-to-root/), SecurityWeek, 4 novembre 2026
- [GHSA-fq98-vw8w-5vf9](https://github.com/advisories/GHSA-fq98-vw8w-5vf9) : Improper neutralization of shell metacharacters in the timezone configuration field in…, GitHub Advisory Database (CC BY 4.0)
- [CVE-2026-111560](https://nvd.nist.gov/vuln/detail/CVE-2026-111560), NVD (NIST)
- [GHSA-9fcr-mp7p-hprv](https://github.com/advisories/GHSA-9fcr-mp7p-hprv) : An authentication bypass in Barracuda Email Security Gateway versions earlier than…, GitHub Advisory Database (CC BY 4.0)
- [CVE-2026-116606](https://nvd.nist.gov/vuln/detail/CVE-2026-116606), NVD (NIST)