Deux failles Barracuda ESG enchaînées livrent un root sans authentification

2 novembre 2026. Barracuda publie les correctifs de CVE-2026-116606 et CVE-2026-111560, deux failles de sa passerelle de sécurité e-mail Email Security Gateway (ESG). 5 novembre 2026. watchTowr Labs en détaille la chaîne d’exploitation complète, sous un titre qui ne laisse aucun doute : « Barracuda Networks is your new best friend ». 2023. Cette même classe d’appareils était déjà la cible d’un zero-day massivement exploité, CVE-2023-2868. Pourquoi c’est important : les deux failles s’enchaînent en un accès root complet, sans aucun login, sur l’appareil qui filtre tout votre courrier entrant.

La chaîne : deux failles, un seul effet

CVE-2026-116606 est un contournement d’autorisation pré-authentification, noté CVSS 9.3. CVE-2026-111560 est une injection de commandes, notée CVSS 8.6. Prises séparément, aucune ne suffit : la seconde exige en principe des privilèges d’administrateur. Mais la première les supprime. Enchaînées, elles donnent à un attaquant non authentifié l’exécution de commandes en tant que root sur la passerelle.

watchTowr a vérifié la chaîne sur un firmware 9.4.0.029. Son analyse est sans ambiguïté : un attaquant qui n’a aucun compte sur l’appareil peut en prendre le contrôle total. Le correctif de Barracuda porte la version à 9.4.0.030.

Le config-import sans clé

La faille CVE-2026-116606 tient en une phrase : l’API d’import de configuration n’exige aucune authentification. N’importe quel utilisateur distant peut l’invoquer et lui soumettre une archive de sauvegarde fabriquée pour coller au schéma de configuration de l’appareil. Si l’archive est bien formée, elle écrase les réglages globaux de la passerelle.

C’est plus grave qu’une simple lecture de configuration. En écrasant les réglages, l’attaquant reprend la main sur l’appareil : il peut injecter ses propres valeurs, désactiver des contrôles, ou préparer le terrain pour la seconde faille, l’injection de commandes CVE-2026-111560. La barrière d’authentification n’est pas contournée au sens fin du terme — elle n’existe tout simplement pas sur ce point d’entrée.

Six produits concernés, une seule faille critique

CVE-2026-111560 ne se limite pas à l’ESG. Barracuda liste six produits affectés par l’injection de commandes. Sur les cinq autres, l’exploitation exige des privilèges administrateur : la faille y est donc réelle, mais moins immédiate.

La leçon du tableau tient en une ligne : un seul produit, l’ESG, cumule les deux failles et donc le chemin root pré-authentification. C’est lui la priorité absolue.

Une cible déjà éventrée en 2023

Ce n’est pas la première fois que l’ESG se retrouve au centre d’une alerte majeure. En mai 2023, Barracuda révélait que ses passerelles ESG avaient été compromises via un zero-day, CVE-2023-2868, exploité par un acteur de menace attribué à la Chine et suivi sous le nom UNC4841. Les appareils furent backdoorés à grande échelle, au point que la CISA et le FBI recommandèrent de les remplacer physiquement, pas seulement de les patcher.

L’histoire a laissé une trace : les ESG restent exposés sur Internet, souvent avec l’interface d’administration joignable depuis l’extérieur. La nouvelle chaîne ne fait que raviver un risque que la profession connaissait déjà.

Ce qu’il faut faire maintenant

Barracuda recommande trois gestes, dans cet ordre. D’abord, appliquer le correctif : pour l’ESG, c’est BNSF-40425 si vous êtes en 9.4.017 ou plus, BNSF-40430 en dessous. Ensuite, restreindre l’interface d’administration à un réseau interne de confiance, avec des contrôles d’accès réseau. Enfin, activer la mise à jour automatique si elle est désactivée.

Deux pièges à éviter. Un appareil plusieurs versions en retard ne peut pas toujours sauter directement au dernier firmware : Barracuda conseille d’appliquer les mises à jour étape par étape. Et si le patch n’a pas été poussé automatiquement, il faut l’appliquer manuellement sans attendre.

Pour savoir si un appareil est vulnérable, watchTowr a publié un générateur d’artefacts de détection sur GitHub. Il vérifie la présence des deux CVE sur l’ESG.

Verdict

La chaîne Barracuda n’est pas une faille exotique : c’est un contournement d’autorisation trivial combiné à une injection de commandes connue, sur un appareil qui filtre tout le courrier de l’organisation. Le risque n’est pas seulement le root — c’est ce qu’un root sur l’ESG permet ensuite : lire les e-mails, intercepter les pièces jointes, réécrire les règles de filtrage pour faire passer n’importe quoi.

Si vous exploitez un ESG Barracuda, appliquez BNSF-40425 ou BNSF-40430 dès aujourd’hui et retirez l’interface d’administration d’Internet — c’est un correctif de niveau « incident », pas de niveau « maintenance ». Si vous gérez l’un des cinq autres produits, corrigez CVE-2026-111560 mais sachez que l’exposition y exige déjà un compte admin. Dans les deux cas, la même règle vaut : un appareil de sécurité e-mail exposé est un appareil qui finit toujours par être ciblé.

Références

• watchTowr Labs — Barracuda Networks is your new best friend (CVE-2026-116606, CVE-2026-111560)
• Barracuda — Pre-Authentication Authorization Bypass and Command Injection advisory
• Security Affairs — Two Barracuda ESG flaws could be combined for full root access (4 novembre 2026)
• The Hacker News — Experts Demonstrate Barracuda Email Security Gateway Chain (6 novembre 2026)
• GitHub — watchTowr-vs-Barracuda-RCE-CVE-2026-116606-CVE-2026-111560
• OpenCVE — CVE-2026-116606