Barracuda : deux failles critiques exploitées pour obtenir un accès root
Des acteurs malveillants exploitent actuellement deux failles dans les produits Barracuda. Il s’agit des CVE-2026-116606 et CVE-2026-111560. L’agence américaine CISA a d’ailleurs ajouté ces vulnérabilités à son catalogue des failles exploitées, signalant une urgence réelle pour les organisations utilisant ces équipements.
Il faut comprendre la nature des menaces. La première faille, CVE-2026-116606, est un contournement d’authentification qui touche l’Email Security Gateway (ESG) de Barracuda. Ce bug, noté avec un score CVSS de 9,3, permet à un attaquant sans authentification préalable d’exécuter une fonction d’importation de configuration en restaurant une archive de sauvegarde préparée, modifiant ainsi l’appliance de manière non autorisée. Selon SecurityWeek, cet accès peut être aggravant s’il est combiné avec la seconde faille.
La seconde faiblesse, CVE-2026-111560, est une injection de commandes affectant plusieurs produits Barracuda, dont l’ESG, l’ADC, le WAF et le WSG. Si un attaquant possède déjà un accès administratif à l’appareil, il peut exploiter cette faille pour injecter des commandes système exécutées avec des privilèges root. Cette vulnérabilité, classée avec un score CVSS de 8,6, exploite une mauvaise neutralisation des métacaractères de shell dans le champ de configuration de fuseau horaire. Barracuda rappelle d’ailleurs que l’exposition de l’interface administrative à l’Internet public augmente considérablement le risque.
Ce qui est touché et la gravité réelle
La gravité de ces failles réside dans leur potentiel d’escalade de privilèges. L’association des deux vulnérabilités permet, selon Barracuda, de contourner les contrôles d’autorisation pour prendre le contrôle total de l’appareil. Les attaquants ne sont plus en phase de simple reconnaissance ; des tentatives d’exploitation concrètes ont été observées. Previdian a relevé dix-sept tentatives ciblant CVE-2026-116606 entre le 9 et le 11 novembre, provenant de quinze adresses IP réparties sur trois pays.
L’ajout de ces CVE au catalogue KEV de CISA, effectué le 10 novembre, est un signal fort. Cette liste, maintenue par CISA pour informer la communauté de cybersécurité, indique que ces vulnérabilités sont activement utilisées sur le terrain. Pour les agences fédérales américaines, cela implique une obligation de mise à jour sous trois jours, conformément à l’ordonnance BOD 26-04.
Qui doit agir et comment
La recommandation de Barracuda est claire : mettre à jour le firmware sans délai. Pour les clients concernés, il est impératif de vérifier la version logicielle de leurs systèmes et d’appliquer immédiatement les correctifs de sécurité. Si le patch n’a pas été appliqué automatiquement, les utilisateurs doivent procéder manuellement, en consultant la documentation de Barracuda Campus.
En parallèle de la mise à jour, la posture réseau doit être revue. Les entreprises doivent s’assurer que les interfaces administratives de leurs équipements Barracuda ne sont pas accessibles depuis l’extérieur. Restreindre l’accès aux réseaux internes de confiance est une mesure de mitigation essentielle, comme le conseille le fournisseur.
Que faire maintenant
Il est désormais impératif que les responsables de la sécurité évaluent l’exposition de chaque actif Barracuda sur leur réseau. La mise à jour vers les versions les plus récentes est la seule voie d’assurance immédiate. Si des équipements ne peuvent pas être mis à jour immédiatement, il faut appliquer les mesures de restriction réseau recommandées, car ces deux failles, prises ensemble, ouvrent la porte à une prise de contrôle complète de l’infrastructure.
Fiche technique
| CVE | Produit | Gravité | Exploitée activement | Versions corrigées |
|---|---|---|---|---|
| CVE-2026-111560 | Barracuda Networks Multiple Products | Élevée (CVSS 8,6) | Oui (KEV, 10 novembre 2026) | Voir l’avis de l’éditeur |
| CVE-2026-116606 | Barracuda Networks Barracuda Email Security Gateway (ESG) | Critique (CVSS 9,3) | Oui (KEV, 10 novembre 2026) | Voir l’avis de l’éditeur |
Données : NVD (NIST), catalogue KEV de la CISA (CC0) et GitHub Advisory Database (CC BY 4.0, données adaptées).
Sources
- Known Exploited Vulnerabilities Catalog | CISA, cisa.gov
- Pre-Authentication Authorization Bypass and Command Injection Vulnerabilities in Certain Barracuda Products, trust.barracuda.com
- Recently Patched Barracuda Vulnerabilities Exploited in Attacks, SecurityWeek, 11 novembre 2026
- Hackers now exploit critical Barracuda ESG flaws to gain root access, BleepingComputer, 10 novembre 2026
- GHSA-fq98-vw8w-5vf9 : Improper neutralization of shell metacharacters in the timezone configuration field in…, GitHub Advisory Database (CC BY 4.0)
- CVE-2026-111560, NVD (NIST)
- CVE-2026-111560 dans le catalogue KEV, CISA
- GHSA-9fcr-mp7p-hprv : An authentication bypass in Barracuda Email Security Gateway versions earlier than…, GitHub Advisory Database (CC BY 4.0)
- CVE-2026-116606, NVD (NIST)
- CVE-2026-116606 dans le catalogue KEV, CISA
