CVE-2026-116606 : Barracuda ESG et WAF — accès root critique

Les faits

Barracuda Networks a publié le 3 novembre 2026 un advisory de sécurité critique concernant deux vulnérabilités affectant simultanément six de ses produits de sécurité réseau et messagerie. CVE-2026-116606 et CVE-2026-111560 constituent, combinées, un vecteur d'attaque permettant d'obtenir un accès root complet sur les appliances Barracuda concernées. La divulgation simultanée de ces deux failles, dont l'une est exploitable sans authentification préalable sur ESG, confère à cet advisory un niveau de criticité élevé nécessitant une action corrective immédiate.

CVE-2026-116606 est une faiblesse d'authentification dans Barracuda Email Security Gateway (ESG). Cette vulnérabilité permet à un attaquant d'agir sur la configuration globale du système sans avoir présenté d'identifiants d'administration valides. Sur le plan technique, cette faille de type authentication bypass ou broken authentication contourne les mécanismes de vérification d'identité normalement requis pour accéder aux fonctions d'administration de l'ESG. L'exploitation de CVE-2026-116606 permet notamment de modifier des paramètres critiques comme les règles de filtrage des emails, les listes blanches/noires, et potentiellement les paramètres de relayage de messagerie.

CVE-2026-111560 est une vulnérabilité d'injection de commandes OS (OS command injection) affectant un plus large périmètre de produits Barracuda. Cette faille, exploitable par un utilisateur authentifié avec des privilèges d'administration, permet d'injecter et d'exécuter des commandes arbitraires au niveau du système d'exploitation, avec les droits du compte root. Les six produits affectés par CVE-2026-111560 sont : Barracuda Email Security Gateway, Barracuda Load Balancer ADC, Barracuda Message Archiver, Barracuda WAF Control Center, Barracuda WAF, et Barracuda Web Security Gateway.

La combinaison de CVE-2026-116606 et CVE-2026-111560 constitue une chaîne d'exploitation particulièrement dangereuse pour l'Email Security Gateway. CVE-2026-116606 fournit un premier accès à la console d'administration sans authentification, permettant à un attaquant d'obtenir les droits nécessaires pour déclencher l'injection de commandes OS de CVE-2026-111560. L'enchaînement de ces deux vulnérabilités transforme un accès réseau à l'interface ESG en exécution de commandes root complète, sans qu'aucun identifiant valide ne soit requis.

L'exploitation de CVE-2026-116606 est limitée à l'accès à l'interface d'administration de l'ESG, typiquement sur un port d'administration distinct. Dans les déploiements Barracuda standard, cette interface est accessible depuis le réseau interne ou un VLAN de management. Cependant, des configurations exposant l'interface d'administration sur Internet existent, amplifiant le risque d'exploitation externe. CVE-2026-111560, qui requiert des droits administrateur, bénéficie directement de l'accès obtenu via CVE-2026-116606 pour une exploitation en chaîne.

L'historique de Barracuda Networks en matière de vulnérabilités critiques sur ses produits ESG est notable. En 2023, CVE-2023-2868, une vulnérabilité zero-day dans Barracuda ESG, avait été exploitée par des acteurs étatiques chinois dans une campagne d'espionnage massive, conduisant Barracuda à recommander le remplacement physique des appliances compromises plutôt que leur simple mise à jour. Cet épisode a démontré la valeur stratégique que représente le contrôle d'une passerelle de messagerie sécurisée pour des acteurs malveillants sophistiqués.

Barracuda a fourni des identifiants de patch précis pour chaque produit affecté. Pour l'Email Security Gateway, les correctifs BNSF-40425 (version 9.4.017 et supérieure) et BNSF-40430 (versions antérieures à 9.4.017) couvrent les deux vulnérabilités. Pour les autres produits : BNADC-16586 pour Load Balancer ADC, BNMA-32468 pour Message Archiver, BNWF-60060 pour WAF Control Center et WAF, et BNYF-24789 pour Web Security Gateway. Ces patches doivent être appliqués en priorité sur les produits exposés à Internet ou accessibles depuis des segments réseau non maîtrisés.

Les scores CVSS officiels de CVE-2026-116606 et CVE-2026-111560 n'ont pas été communiqués par Barracuda dans son advisory initial. Sur la base du vecteur d'attaque de CVE-2026-116606 (bypass d'authentification, modification de configuration globale), un score CVSS v3.1 dans la plage 8.1 à 9.1 est attendu. CVE-2026-111560 (injection OS root, authentifiée admin) devrait se situer dans la plage 7.2 à 8.8. La combinaison des deux vulnérabilités pour un accès root non authentifié sur ESG justifie une classification critique de l'advisory global.

Impact et exposition

Six produits Barracuda largement déployés dans les environnements d'entreprise sont concernés par CVE-2026-111560, et l'Email Security Gateway l'est également par CVE-2026-116606. L'ESG et le WAF sont particulièrement exposés car ils constituent des points de contrôle critiques pour le trafic entrant et sortant des organisations : un ESG compromis permet l'accès, la modification ou la suppression de tous les emails transitant, tandis qu'un WAF compromis peut être reconfiguré pour laisser passer des attaques web ou rediriger le trafic.

CVE-2026-116606, applicable à l'ESG, ne requiert l'accès qu'à l'interface d'administration du produit. Bien que cette interface ne soit généralement pas exposée sur Internet dans les bonnes pratiques de déploiement, les incidents passés montrent que des configurations non conformes existent dans de nombreuses organisations. La surface d'attaque interne est également significative : un attaquant ayant déjà compromis un poste sur le réseau interne peut cibler l'interface d'administration ESG.

CVE-2026-111560 affecte six produits et requiert des droits d'administration préalables. Cette condition la rend moins immédiatement exploitable depuis Internet, mais elle reste critique dans les scénarios d'attaquant interne, de compromission de compte admin, ou en chaîne avec CVE-2026-116606 pour l'ESG. L'exécution de commandes en tant que root sur une appliance de sécurité réseau permet d'implanter des backdoors persistants, de désactiver les fonctions de protection, et d'utiliser l'appliance comme pivot dans le réseau.

Le secteur de la messagerie électronique reste l'un des vecteurs d'attaque initiaux les plus exploités par les acteurs malveillants. Une ESG compromise peut être utilisée pour supprimer silencieusement les emails d'alertes de sécurité, modifier les règles anti-spam pour permettre le passage de phishing ciblé, et espionner toutes les communications électroniques de l'organisation sans détection par les outils de sécurité endpoints.

Recommandations immédiates

• Identifier tous les produits Barracuda concernés dans l'infrastructure : ESG, Load Balancer ADC, Message Archiver, WAF Control Center, WAF, Web Security Gateway
• Appliquer le patch BNSF-40425 sur Barracuda ESG 9.4.017 et supérieur, ou BNSF-40430 pour les versions antérieures — advisory Barracuda Security Advisory 2026-11
• Appliquer BNADC-16586 (Load Balancer ADC), BNMA-32468 (Message Archiver), BNWF-60060 (WAF Control Center et WAF), BNYF-24789 (Web Security Gateway)
• Vérifier que l'interface d'administration Barracuda ESG n'est pas exposée directement sur Internet
• Activer l'authentification multifacteur (MFA) sur tous les comptes d'administration Barracuda pour limiter l'exploitation de CVE-2026-116606
• Vérifier les logs d'administration ESG pour détecter toute connexion ou modification de configuration suspecte antérieure au patch
• En l'absence de patch immédiat : restreindre l'accès à l'interface d'administration aux seules adresses IP de gestion via règles firewall