Barracuda a publié des correctifs pour deux vulnérabilités qui peuvent être combinées afin de contourner les contrôles d’autorisation et d’obtenir un accès root sur certains de ses équipements. Les administrateurs doivent vérifier rapidement les versions installées et limiter l’exposition des interfaces de gestion.
Deux failles à surveiller
La première vulnérabilité, CVE-2026-116606, obtient un score CVSS de 9,3. Elle permet un contournement d’autorisation avant authentification et touche l’Email Security Gateway. La seconde, CVE-2026-111560, est une injection de commandes notée 8,6.
Exploitée seule, chaque faille présente déjà un risque sérieux. Enchaînées, elles pourraient permettre à un attaquant d’éviter les contrôles d’accès puis d’exécuter des commandes avec les privilèges les plus élevés sur l’appareil.
Quels produits sont concernés ?
La faille d’injection de commandes concerne plusieurs familles de produits Barracuda :
- Email Security Gateway ;
- Load Balancer Application Delivery Controller ;
- Message Archiver ;
- WAF Control Center ;
- Web Application Firewall ;
- Web Security Gateway.
Une condition d’exploitation importante
Selon Barracuda, l’attaquant doit pouvoir atteindre l’interface d’administration d’un produit vulnérable. Les organisations qui n’exposent pas ces interfaces directement sur Internet réduisent donc fortement le chemin d’attaque, sans pour autant remplacer l’installation des correctifs.
Mesures à prendre immédiatement
- inventorier les équipements Barracuda et leurs versions de firmware ;
- installer les dernières mises à jour de sécurité ;
- appliquer les mises à niveau intermédiaires si le firmware est très ancien ;
- réserver l’accès administratif aux réseaux internes ou à un VPN sécurisé ;
- filtrer les adresses autorisées et activer l’authentification renforcée ;
- examiner les journaux à la recherche de connexions ou commandes inhabituelles.
Pourquoi les interfaces d’administration sont critiques
Ces interfaces contrôlent des équipements placés au cœur du réseau. Une compromission peut donner à l’attaquant une visibilité sur les communications, permettre une interruption de service ou offrir un point de rebond vers d’autres systèmes. Elles ne devraient jamais être accessibles plus largement que nécessaire.
