CVE-2026-116606 : le contournement d’authentification de Barracuda ESG est exploité — mise à jour et vérification de compromission

Barracuda a publié le 2 novembre 2026 un avis concernant deux vulnérabilités dans Barracuda Email Security Gateway (ESG) et a fourni des correctifs le même jour. CVE-2026-116606 est un contournement d’authentification avec un score CVSS 4.0 de 9.3 : un attaquant non authentifié peut appeler, via l’interface d’administration, une fonction d’importation de configuration, restaurer une sauvegarde spécialement conçue et ainsi modifier la configuration globale de l’appliance. Selon NVD et Mandiant, toutes les versions d’ESG antérieures à 9.4.0.030 sont concernées. Associée à l’injection de commandes CVE-2026-111560, cette faille peut permettre un accès root à l’équipement, selon Barracuda. Le 9 novembre 2026, Barracuda a complété l’avis en indiquant que les vulnérabilités avaient été exploitées chez un petit nombre d’organisations. L’agence américaine CISA a ajouté les deux CVE à son catalogue des vulnérabilités exploitées (KEV) le 10 novembre 2026.

L’essentiel en bref

Versions concernées et mises à jour

Barracuda identifie les correctifs dans son avis par leurs références ; le seuil de version 9.4.0.030 provient de l’entrée CVE de Mandiant et de NVD. La notation « 9.4.017 » correspond à l’avis. Si le firmware accuse plusieurs versions de retard, Barracuda indique que plus d’une mise à jour peut être nécessaire avant que le correctif ne prenne effet.

CVE-2026-111560 (injection de commandes, CVSS 4.0 : 8.6) concerne, outre l’ESG, d’autres produits. Sans CVE-2026-116606, son exploitation exige des droits d’administrateur. Les seuils de version proviennent de la vue d’ensemble de Beazley Security, les références de correctif de l’avis Barracuda :

Ce que l’on sait sur l’exploitation

Dans sa mise à jour du 9 novembre 2026, Barracuda écrit avoir constaté une exploitation chez un petit nombre d’organisations. Barracuda ne fournit aucune information sur le nombre de personnes touchées, les attaquants ou leur mode opératoire ; l’avis ne contient aucun indicateur de compromission (IoC). La CISA répertorie CVE-2026-116606 et CVE-2026-111560 dans son catalogue KEV depuis le 10 novembre 2026 et exige des agences fédérales américaines, d’ici le 13 novembre 2026, l’application des mesures du fabricant ainsi qu’un examen forensique conformément à BOD 26-04. Si aucune remédiation n’est possible, le produit doit être mis hors service selon la CISA.

Barracuda a signalé la vulnérabilité le 22 octobre 2026 ; Mandiant a publié l’entrée CVE et l’avis MNDT-2026-0042 le 2 novembre 2026. Selon Mandiant, l’attaque passe par l’importation de configuration : une sauvegarde compatible et spécialement conçue est restaurée sans connexion et écrase la configuration globale. Selon SecurityWeek, CVE-2026-111560 se situe dans le paramètre de fuseau horaire et permet d’exécuter des commandes avec des droits root.

Selon SecurityOnline, watchTowr Labs a publié une analyse technique ainsi qu’un script de chaînage sur GitHub. Le dépôt est public ; watchTowr décrit le script comme un « Detection Artifact Generator » et, selon SecurityOnline, il accepte des commandes arbitraires. SecurityOnline décrit les causes ainsi : un changement de mot de passe échoué signale certes une erreur, mais n’interrompt pas le traitement ; la somme de contrôle des fichiers de sauvegarde repose sur un secret intégré en dur, ce qui permet de falsifier des sauvegardes valides ; une valeur de fuseau horaire dans la sauvegarde permet ensuite d’exécuter la commande injectée en tant que root. On ignore si les attaques observées utilisent ce script.

Mesures immédiates

1. Vérifier l’état des correctifs : Dans l’interface web, sous ADVANCED > Firmware Update, récupérez les correctifs disponibles dans la section « Firmware Patches » avec « Sync Now » et vérifiez si BNSF-40425 ou BNSF-40430 est appliqué. Selon Barracuda, les correctifs peuvent avoir été installés automatiquement.

2. Installer le correctif ou mettre à jour le firmware : Si le correctif manque, installez-le manuellement sans délai. En mode « Automatic », l’appliance ne redémarre pas d’elle-même après un correctif selon la documentation de Barracuda ; si un redémarrage est nécessaire, déclenchez-le manuellement. Avec un firmware plus ancien, effectuez d’abord les étapes de mise à jour nécessaires.

3. Activer l’application automatique des correctifs : Si « Apply Patches » est défini sur « Disable » (paramètre par défaut selon la documentation) ou « Manual », Barracuda recommande de réactiver l’application automatique.

4. Isoler l’interface d’administration : Restreignez l’accès à l’interface d’administration aux réseaux internes de confiance, par exemple un réseau de gestion ou un VPN, et appliquez cette restriction sur le pare-feu en amont. Barracuda considère les équipements dont l’interface d’administration n’est pas accessible depuis Internet comme moins exposés. Cette mesure ne remplace pas le correctif.

5. Vérifier les autres produits Barracuda : Contrôlez que Load Balancer ADC, WAF, WSG, Message Archiver et WAF Control Center disposent des correctifs pour CVE-2026-111560.

Vérification de compromission

Barracuda et la CISA ne publient aucun indicateur. Puisque la vulnérabilité est exploitée et peut être sollicitée sans connexion, tout équipement dont l’interface d’administration était accessible hors du réseau de gestion avant le correctif devrait être vérifié. Field Effect recommande :

1. Clarifier l’accessibilité : Déterminer si, et depuis quand, l’interface d’administration était accessible depuis Internet ou des réseaux hors administration ; conservez les journaux du pare-feu et du proxy pour cette période.

2. Analyser les accès administratifs : Vérifier les accès à l’interface d’administration depuis des adresses inconnues.

3. Rechercher les importations de configuration : Des restaurations de sauvegardes de configuration ne provenant pas de votre propre administration constituent un indice de CVE-2026-116606.

4. Vérifier les modifications de configuration : Rechercher dans la configuration des entrées inattendues. Une comparaison avec une sauvegarde connue et saine est utile ; elle doit aussi inclure le paramètre de fuseau horaire par lequel CVE-2026-111560 est déclenchée.

5. Changer les identifiants : En cas de suspicion de compromission, changez tous les identifiants, clés et comptes accessibles depuis l’appliance.

Selon la description CVE, une attaque réussie modifie la configuration globale ; associée à CVE-2026-111560, elle peut permettre un accès root. Les sources ne précisent pas si le correctif annule de telles modifications. Continuez donc les vérifications après la mise à jour et sauvegardez les journaux et la configuration avant toute modification afin de préserver la possibilité d’une analyse forensique. Après la campagne liée à CVE-2023-2868, Barracuda avait exigé le remplacement des équipements compromis selon SecurityWeek ; aucune recommandation de ce type n’existe encore pour les vulnérabilités actuelles (état au 11 novembre 2026).

Mise en contexte

CVE-2026-116606 concerne exclusivement les opérateurs de Barracuda Email Security Gateway ; CVE-2026-111560 affecte en outre cinq autres produits Barracuda. L’ESG avait déjà été la cible d’attaques ciblées : selon BleepingComputer, CVE-2023-2868 a été exploitée par le groupe UNC4841 depuis au moins octobre 2022 et, selon Mandiant (cité par BleepingComputer), près d’un tiers des équipements alors compromis appartenaient à des autorités publiques. Aucun avis de NCSC Suisse, du BSI ou de CERT-FR concernant CVE-2026-116606 n’était disponible jusqu’au 11 novembre 2026.