CVE-2026-116606: Authentication Bypass Allows Global Configuration Restore in Barracuda Email Security Gateway

Analyse sur rafaelpfister.ch

Article · 11 novembre 2026 CVE-2026-116606 : le contournement d’authentification de Barracuda ESG est exploité — mise à jour et vérification de compromission Un contournement d’authentification dans Barracuda Email Security Gateway antérieur à 9.4.0.030 (CVE-2026-116606, CVSS 4.0 : 9.3) permet d’importer sans connexion une sauvegarde de configuration spécialement conçue. Barracuda confirme des attaques, et la CISA répertorie la faille dans son catalogue KEV depuis le 10 novembre 2026. Des correctifs sont disponibles depuis le 2 novembre ; l’interface d’administration ne devrait pas être accessible depuis Internet.

Description de l'éditeur (en anglais)

An authentication bypass in Barracuda Email Security Gateway versions earlier than 9.4.0.030 allows an unauthenticated remote attacker to invoke a configuration-import function and restore a crafted, compatible backup archive, resulting in unauthorized modification of the appliance’s global configuration.

Données de référence

Éditeur

Barracuda Networks

Produits concernés

Barracuda Email Security Gateway (ESG)

CVSS 4.0

9.3 (CRITICAL)

Vecteur

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Type de faiblesse

CWE-288: Authentication bypass using an alternate path or channel

Publiée

2 novembre 2026

Dans le catalogue KEV depuis

10 novembre 2026

Échéance administrations fédérales US

13 novembre 2026

Sources officielles

← Toutes les vulnérabilités