## En bref - Deux vulnérabilités dans Barracuda Email Security Gateway — un bypass d'authentification CVE-2026-116606 et une injection de commandes CVE-2026-111560 — peuvent être chaînées pour obtenir un accès root complet sans identifiants. - Toute organisation déployant un appliance Barracuda ESG en version antérieure à 9.4.0.030 est exposée ; d'autres produits Barracuda sont également affectés par la faille d'injection. - Barracuda a publié les correctifs le 3 novembre 2026 ; la mise à jour vers la version 9.4.0.030 et l'activation des Firmware Patches sont les actions prioritaires. ## Ce qui s'est passé Le 2 novembre 2026, Barracuda Networks a publié un advisory de sécurité révélant deux vulnérabilités dans plusieurs de ses produits, dont l'appliance Email Security Gateway (ESG). La société de sécurité watchTowr, qui avait découvert les failles et mené la divulgation coordonnée, a publié une analyse technique détaillée le 6 novembre démontrant comment les deux vulnérabilités peuvent être chaînées pour obtenir une exécution de commandes avec les privilèges root sur un appliance ESG, sans aucune authentification préalable. Cette démonstration a considérablement augmenté l'urgence pour les équipes de répondre à cet avis. La première vulnérabilité, CVE-2026-116606, est un contournement de l'autorisation pré-authentification dans l'interface d'administration de l'Email Security Gateway. Elle permet à un attaquant non authentifié de pousser une sauvegarde de configuration spécialement forgée vers l'appliance, écrasant ainsi les paramètres globaux du système. Mandiant a évalué cette faille à CVSS 9.3, la classant en sévérité critique. Seul l'appliance ESG est affecté par ce vecteur d'attaque initial. La faille réside dans l'absence de vérification d'intégrité sur les fichiers de configuration importés, un vecteur classique mais toujours efficace pour gagner une première empreinte sur un équipement de sécurité. La seconde vulnérabilité, CVE-2026-111560, est une injection de commandes OS dans le champ de paramétrage du fuseau horaire, présent dans un composant de code partagé entre plusieurs produits Barracuda. Elle permet l'exécution de commandes système arbitraires avec les droits root, mais dans son état normal nécessite un accès administrateur. Son score CVSS est de 8,6. Au-delà de l'ESG, elle affecte le Load Balancer Application Delivery Controller (ADC), le Message Archiver, le WAF Control Center, le Web Application [Firewall](/glossaire/firewall-pare-feu) (WAF) et le Web Security Gateway (WSG) — soit une surface d'attaque étendue à l'ensemble du portefeuille d'appliances Barracuda. La chaîne d'attaque documentée par watchTowr est directe et particulièrement efficace : en premier lieu, l'attaquant exploite CVE-2026-116606 pour importer une configuration malveillante sur l'ESG sans s'authentifier. Cette configuration altérée crée les conditions permettant d'exploiter ensuite CVE-2026-111560, l'injection de commandes dans le champ timezone. L'exécution combinée des deux étapes aboutit à une exécution de code arbitraire en tant que root sur l'appliance, sans qu'aucun identifiant valide n'ait jamais été présenté. La démonstration de watchTowr précise que Barracuda et Mandiant n'ont pas publié les détails techniques du vecteur exact de bypass, mais que la chaîne complète est reproductible. Barracuda indique dans son advisory qu'aucune exploitation in-the-wild des deux vulnérabilités n'a été confirmée à date de publication. Cependant, la publication de l'analyse technique complète par watchTowr le 6 novembre constitue une divulgation de niveau proof-of-concept qui raccourcit considérablement la fenêtre avant une exploitation active. L'historique de Barracuda avec l'exploitation de ses appliances ESG — notamment la compromission massive de 2023 via CVE-2023-2868 qui avait conduit à des recommandations de remplacement physique des équipements par la CISA — incite à traiter cet avis avec la plus haute urgence, sans attendre de confirmation d'exploitation active. Les produits Barracuda concernés par CVE-2026-111560 méritent une attention particulière en raison de leur positionnement dans les architectures de sécurité : l'ESG filtre les emails entrants et sortants, le WAF protège les applications web exposées, et l'ADC assure l'équilibrage de charge sur des flux critiques. La compromission de l'un de ces équipements permettrait à un attaquant de positionner un homme du milieu sur des flux de communication sensibles, d'intercepter des emails avant leur chiffrement ou leur analyse, ou d'exfiltrer silencieusement le trafic applicatif. La procédure de remédiation recommandée par Barracuda est double. Pour l'ESG, il s'agit de mettre à jour vers la version 9.4.0.030 ou supérieure et de s'assurer que l'option Firmware Patches est bien activée sur l'appliance — cette option permet la distribution automatique des correctifs de sécurité futurs sans intervention manuelle. Pour les autres produits affectés par CVE-2026-111560, Barracuda a publié des mises à jour spécifiques à chaque gamme que les administrateurs doivent consulter dans le portail de support officiel. Dans l'intervalle, restreindre l'accès à l'interface d'administration des appliances aux seules adresses IP de gestion légitimes représente une mesure d'atténuation immédiate. Cette vulnérabilité s'inscrit dans un contexte plus large d'attaques ciblant les appliances de sécurité email et réseau. En 2026, Proofpoint, Mimecast et Microsoft Exchange On-Premises ont tous fait l'objet d'exploitations ciblées par des groupes APT cherchant à se positionner sur les flux de messagerie d'entreprise. La messagerie email reste le premier vecteur d'intrusion initiale selon les rapports Verizon DBIR, et les équipements chargés de la protéger sont naturellement des cibles à haute valeur pour des attaquants sophistiqués. ## Pourquoi c'est important Barracuda a déjà connu en 2023 l'une des compromissions les plus graves de l'industrie avec CVE-2023-2868, une vulnérabilité dans l'ESG exploitée pendant des mois par le groupe APT UNC4841 (attribué à la Chine) avant sa découverte. Cette attaque avait conduit à des préconisations sans précédent de la CISA recommandant le remplacement physique des appliances compromis plutôt que leur simple réinstallation, en raison de la persistance du [malware](/glossaire/malware-logiciel-malveillant) au niveau firmware. Ce contexte historique donne une résonance particulière aux nouvelles vulnérabilités et justifie une réponse accélérée des équipes de sécurité. Le pattern d'une vulnérabilité de type bypass pré-authentification couplée à une injection de commandes est l'un des plus redoutables en matière d'équipements de sécurité réseau. Il permet de transformer en quelques secondes un équipement censé protéger l'organisation en point d'entrée pour l'attaquant. La vitesse de publication d'un proof-of-concept par watchTowr — quatre jours après l'advisory de Barracuda — illustre la compétitivité actuelle de l'écosystème des chercheurs en sécurité offensifs et la nécessité pour les défenseurs de réduire drastiquement leurs délais de patch. Pour les entreprises utilisant des appliances Barracuda, la question du monitoring post-patch est également centrale. Un attaquant ayant eu accès à l'appliance avant la mise à jour dispose potentiellement d'une persistance installée au niveau système. Les indicateurs de compromission à surveiller incluent des tâches cron inhabituelles, des modifications de fichiers système non planifiées, des connexions sortantes vers des adresses IP inconnues depuis l'appliance, et des accès à l'interface d'administration à des horaires atypiques. Sur un équipement de sécurité email, la discrétion est un avantage majeur pour l'attaquant car les anomalies passent souvent inaperçues dans le volume normal de trafic. Du point de vue de la conformité NIS2 et DORA, les équipements de messagerie et de filtrage réseau entrent directement dans le périmètre des actifs critiques à maintenir à jour. Les organisations qui ne peuvent pas appliquer le patch immédiatement doivent documenter leur justification et mettre en place des mesures compensatoires formelles, notamment la restriction d'accès à l'interface d'administration et le renforcement de la surveillance des logs d'accès. ## Ce qu'il faut retenir - CVE-2026-116606 et CVE-2026-111560 permettent une chaîne d'exploitation sans authentification aboutissant à un accès root sur Barracuda ESG — aucune exploitation in-the-wild confirmée à ce jour, mais un PoC public existe depuis le 6 novembre 2026. - Six produits Barracuda sont affectés par la faille d'injection CVE-2026-111560 : ESG, ADC, Message Archiver, WAF Control Center, WAF et WSG. - Mise à jour ESG vers 9.4.0.030, activation des Firmware Patches et restriction d'accès à l'interface d'administration sont les trois actions immédiates à réaliser. ### Comment savoir si mon appliance Barracuda ESG est vulnérable ? Connectez-vous à l'interface d'administration de l'appliance et vérifiez le numéro de version affiché en bas de l'écran ou dans la section About. Si la version est antérieure à 9.4.0.030, l'appliance est vulnérable à CVE-2026-116606. Vérifiez également que l'option Firmware Patches est activée dans les paramètres de mise à jour automatique — cela garantit que les correctifs futurs sont appliqués sans intervention manuelle. Si vous avez des doutes sur une compromission antérieure, recherchez des processus système inhabituels, des tâches cron inconnues et des connexions réseau sortantes non attendues depuis l'appliance. ### Besoin d'un accompagnement expert ? Ayi NEDJIMI vous accompagne sur vos projets cybersécurité et IA. [Prendre contact](#)