Barracuda ESG : exploitées ensemble, ces deux failles offrent un accès root

Vous administrez une appliance Barracuda Email Security Gateway, un WAF ou un Load Balancer ADC de cet éditeur ? Une faille de sécurité permet d'exécuter des commandes en root, depuis un compte administrateur. Mais le risque est plus important sur l'ESG, où elle peut être enchaînée avec une seconde faille exploitable sans authentification. Voici ce qu'il faut savoir.

Le 2 novembre 2026, Barracuda Networks a publié un bulletin de sécurité consacré à deux failles dans plusieurs de ses produits. La première vulnérabilité, CVE-2026-116606, est un contournement d'authentification qui concerne uniquement l'Email Security Gateway (ESG). En exploitant cette faille, un attaquant distant non authentifié peut appeler une fonction d'import de configuration et restaurer une sauvegarde forgée. Il peut ainsi modifier la configuration globale de l'appliance.

La seconde faille, CVE-2026-111560, est une injection de commandes située dans le champ de configuration du fuseau horaire. Elle touche six gammes de produits et permet à un administrateur authentifié d'exécuter des commandes avec les privilèges root. Vous l'aurez compris, il faut déjà être administrateur, ce qui n'est pas rien.

Toutefois, il y a un risque plus important lorsque ces failles sont exploitées ensemble : "En cas d'exploitation combinée, ces vulnérabilités pourraient permettre à un attaquant de contourner les contrôles d'autorisation et d'obtenir un accès root sur l'appareil", précise Barracuda. La première faille donnerait la main sur la configuration sans authentification préalable, la seconde transformerait un accès administrateur en exécution de commandes avec les droits root.

Les produits concernés et les correctifs à appliquer

Il est à noter que l'ESG est le seul produit affecté par les deux vulnérabilités évoquées dans cet article. Les autres produits listés ci-dessous sont affectés uniquement par la faille CVE-2026-111560, ce qui sous-entend d'être déjà administrateur (via un vol d'identifiants, par exemple). Voici un récapitulatif :

• Email Security Gateway (ESG) : correctif BNSF-40425 pour les versions 9.4.017 et ultérieures, BNSF-40430 pour les versions antérieures.

• Load Balancer ADC : correctif BNADC-16586.

• Message Archiver (BMA) : correctif BNMA-32468.

• WAF Control Center (WCC) : correctif BNWF-60060.

• Web Application Firewall (WAF) : correctif BNADC-16586.

• Web Security Gateway (WSG) : correctif BNYF-24789.

Côté gravité, les fiches CVE attribuent un score CVSS 4.0 de 9,3 à la CVE-2026-116606 et un score de 8,6 sur 10 à la CVE-2026-111560. À ce jour, aucune exploitation active n'est signalée. De son côté, la CISA juge la première faille automatisable, ce qui en fait une bonne candidate pour mettre en œuvre des campagnes de scan.

L'interface d'administration, le vrai point d'entrée

L'interface d'administration, l'éternel point d'entrée. D'ailleurs, Barracuda insiste sur le fait que l'exploitation nécessite un accès à l'interface d'administration de l'appareil. Les organisations qui ne l'exposent pas sur Internet sont donc moins exposées (comme toujours).

Désormais, vous savez ce qu'il vous reste à faire : patcher votre équipement Barracuda, sauf si vous utilisez une version Cloud.

Ajouter IT-Connect à mes
sources préférées

Cofondateur d'IT-Connect et Microsoft MVP "Cloud and Datacenter Management". Mon obsession depuis près de 15 ans ? Rendre l'administration système et la cybersécurité accessibles, que vous soyez junior ou confirmé. Plus qu'un métier, l'IT est pour moi une véritable passion. J’accompagne au quotidien les sysadmins et les professionnels de l’IT dans leur montée en compétences et leur veille technique.