Veille menaces / Faille
Barracuda : deux failles qui donnent les droits root sur les passerelles Email Security Gateway sont exploitées
Le 2 novembre 2026, Barracuda a corrigé deux failles dans son Email Security Gateway et cinq autres équipements. Combinées, elles permettent à un attaquant qui atteint l'interface d'administration de contourner les contrôles d'autorisation et d'obtenir les droits root sur l'appareil. Le 9 novembre, Barracuda a ajouté avoir « identifié une activité d'exploitation touchant un petit nombre d'organisations ».
- Secteur
- Tous secteurs
- Point d'entrée
- Faille logicielle
- Produit ou fournisseur
- Barracuda Email Security Gateway, Barracuda Load Balancer ADC, Barracuda Message Archiver, Barracuda WAF Control Center, Barracuda Web Application Firewall, Barracuda Web Security Gateway
- Comment c'est arrivé
- La CVE-2026-116606 (CVSS 9,3, ESG uniquement) est un contournement d'autorisation qui permet de modifier la configuration globale de l'équipement. La CVE-2026-111560 (CVSS 8,6) est une injection de commandes système exécutées en root. Selon Barracuda, l'exploitation suppose d'accéder à l'interface d'administration et, combinées, les deux failles donnent les droits root sur l'appareil. Le déroulé des attaques observées n'est pas public.[1][2] Vérifié le 10 nov. 2026
- Ce qui a été volé
- Pas encore public Vérifié le 10 nov. 2026
- Qui est touché
- « Un petit nombre d'organisations », selon Barracuda, qui ne donne ni chiffre ni nom.[1] Vérifié le 10 nov. 2026
- Acteur
- Non attribué
- CVE
- CVE-2026-116606, CVE-2026-111560
Chronologie
- Barracuda publie son avis et ses correctifs : BNSF-40425 et BNSF-40430 pour l'ESG, ainsi que des correctifs pour Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall et Web Security Gateway. Les correctifs s'appliquent automatiquement quand c'est possible. [1]
- Barracuda corrige son avis : la CVE-2026-116606 ne demande aucune authentification, seulement que l'attaquant puisse atteindre l'interface d'administration. [1]
- Barracuda met à jour son avis et indique avoir « identifié une activité d'exploitation touchant un petit nombre d'organisations ». Il recommande de limiter l'accès aux interfaces d'administration aux réseaux internes de confiance et de vérifier que les correctifs sont appliqués. [1][2]
- La CISA ajoute les deux failles à son catalogue des vulnérabilités exploitées, avec un délai de trois jours pour les agences fédérales, selon SecurityWeek. Ni Barracuda ni la CISA n'ont donné de détails sur les attaques. La société Previdian dit avoir observé 17 tentatives contre la CVE-2026-116606 depuis 15 adresses IP dans trois pays entre le 9 et le 11 novembre, rapporte SecurityWeek. [3]