Passerelles mail Barracuda : deux failles combinées donnent un accès root et sont exploitées

Veille cyber Top-Secured : analyse indépendante fondée sur les sources citées plus bas. Top-Secured n'est pas affilié aux entreprises mentionnées et ne vous demandera jamais vos identifiants bancaires ni vos mots de passe.

Barracuda signale l’exploitation de deux failles qui, enchaînées, donnent un accès root à ses passerelles Email Security Gateway. L’une d’elles touche aussi ses WAF, répartiteurs de charge, archiveurs et passerelles web. La CISA les a ajoutées à son catalogue des vulnérabilités exploitées le 10 novembre.

Les faits

Le 2 novembre 2026, Barracuda a publié un avis sur deux vulnérabilités, divulguées le même jour par Mandiant. Le 9 novembre au soir, l’éditeur l’a mis à jour : il a constaté une exploitation touchant un petit nombre d’organisations. Dès le lendemain, la CISA a inscrit les deux failles à son catalogue KEV, avec une échéance au 13 novembre pour les agences fédérales américaines.

• CVE-2026-116606 (CVSS 9.3), propre à l’Email Security Gateway (ESG) : sans s’authentifier, un attaquant qui atteint l’interface d’administration peut appeler la fonction d’import de configuration et restaurer une sauvegarde piégée, ce qui réécrit les réglages de l’appareil.
• CVE-2026-111560 (CVSS 8.6) : un administrateur peut injecter des commandes système via le champ du fuseau horaire, exécutées en root. Sont concernés ESG, Load Balancer ADC, Web Application Firewall, Message Archiver, Web Security Gateway et WAF Control Center.

Qui est exposé

Enchaînées, les deux failles permettent de passer d’aucun compte à un accès root sur l’appareil, selon Barracuda. Les boîtiers dont l’interface d’administration est joignable depuis Internet sont les plus exposés. D’après Mandiant, sont notamment touchés ESG jusqu’à 9.4.0.27, ADC jusqu’à 6.4.0, WAF jusqu’à 11.0.1, Message Archiver jusqu’à 5.5.4.0, Web Security Gateway jusqu’à 16.1.100.100 et WAF Control Center jusqu’à 2.2.1.

Que faire maintenant

1. Vérifiez l’état des correctifs dans l’interface de chaque boîtier : Barracuda les applique normalement de lui-même (pour l’ESG, BNSF-40425 ou BNSF-40430 selon le firmware). S’il manque, installez-le à la main et réactivez les mises à jour automatiques.
2. Rattrapez les firmwares anciens : un boîtier en retard de plusieurs versions peut demander plusieurs mises à jour successives.
3. Fermez l’interface d’administration à Internet : réseaux internes ou VPN uniquement, puis vérifiez depuis une connexion extérieure que la page ne répond plus.
4. Cherchez des traces : modifications ou restaurations de configuration inattendues, fuseau horaire au contenu bizarre, comptes administrateurs inconnus.
5. En cas de doute, contactez le support Barracuda et changez tous les secrets stockés sur l’appareil (comptes d’annuaire, relais SMTP, certificats).

Notre analyse

Un boîtier de sécurité reste un serveur, avec une page d’administration qui n’a rien à faire sur Internet. Les correctifs automatiques sont un vrai atout, à condition que quelqu’un vérifie qu’ils sont bien passés. Une passerelle mail voit passer tout votre courrier : traitez-la comme un serveur critique.

Sources

• Barracuda — Pre-Authentication Authorization Bypass and Command Injection Vulnerabilities in Certain Barracuda Products
• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-116606 (Barracuda ESG)
• Mandiant — MNDT-2026-0042: Barracuda ESG authentication bypass (CVE-2026-116606)
• Mandiant — MNDT-2026-0041: Barracuda command injection (CVE-2026-111560)

Comment nous choisissons, vérifions et rédigeons nos analyses →