Barracuda : deux failles sur la passerelle e-mail peuvent mener à root sans identifiant

Deux failles de Barracuda, publiées le 2 novembre 2026, peuvent, si on les enchaîne, donner un accès root à une passerelle de sécurité e-mail sans identifiant, à condition que l’interface d’administration soit joignable.

Le 6 novembre, The Hacker News a rendu compte d’une analyse de watchTowr, datée de la veille selon le média. Les correctifs, eux, ont déjà quatre jours. Le point utile pour les exploitants n’est pas le détail de la chaîne : il est de savoir quelle version installer, et que Barracuda a corrigé le 5 novembre une ambiguïté de son propre avis. Le même type de prise de contrôle root a déjà concerné d’autres passerelles de messagerie, comme Cisco Secure Email Gateway.

Ce que chaque avis attribue à chaque produit

L’avis Barracuda, mis à jour le 5 novembre 2026 à 14 h 30, heure de l’Est, a changé le champ « authentification requise » de CVE-2026-116606. Il disait d’abord qu’un accès administrateur était nécessaire. Il dit désormais : non, mais l’interface d’administration doit être accessible à l’attaquant. La combinaison des deux failles « could allow an attacker to bypass authorization controls and obtain root access to the device ».

Mandiant, qui a attribué les identifiants, publie deux notes distinctes. MNDT-2026-0042 décrit CVE-2026-116606 : sur un ESG antérieur à 9.4.0.030, un attaquant distant non authentifié peut appeler une fonction d’import de configuration et restaurer une archive de sauvegarde compatible, ce qui modifie la configuration globale. MNDT-2026-0041 décrit CVE-2026-111560 : un administrateur déjà authentifié peut faire exécuter des commandes du système avec les droits root. Les versions citées par Mandiant vont jusqu’à 9.4.0.27 pour l’ESG, 6.4.0 pour l’ADC, 11.0.1 pour le WAF, 16.1.100.100 pour le WSG, 5.5.4.0 pour le BMA et 2.2.1 pour le WCC.

Le tableau de correctifs de Barracuda, lui, ne reprend pas ces seuils. Il donne des identifiants de correctif : BNSF-40425 pour les ESG en 9.4.017 et au-dessus, BNSF-40430 en dessous de 9.4.017, BNADC-16586 pour l’ADC et le WAF, BNMA-32468 pour l’archiveur, BNWF-60060 pour le centre de contrôle WAF, BNYF-24789 pour la passerelle de sécurité web. Beazley Security, dans un avis du 3 novembre, lit le seuil Mandiant de l’ESG comme une montée vers 9.4.0.030 ou plus, qui couvrirait les deux failles sur ce seul produit. Les autres produits ne sont concernés que par l’injection de commandes.

L’écart d’écriture, 9.4.017 d’un côté et 9.4.0.030 de l’autre, est dans les documents, pas une extrapolation. Le geste sûr est d’appliquer le correctif nommé par Barracuda pour son produit, de laisser l’appliance afficher la version qu’elle propose, et de refaire la mise à jour si le micrologiciel a plusieurs versions de retard. Barracuda prévient qu’un saut direct n’est pas toujours possible.

L’interface d’administration est le vrai périmètre

Barracuda écrit que les organisations dont l’interface d’administration n’est pas joignable depuis Internet sont moins exposées à ce chemin. La recommandation, si le correctif ne peut pas être posé tout de suite, est de limiter cette interface à des réseaux internes de confiance. Si les correctifs automatiques ont été coupés, l’éditeur demande de les rétablir, et d’installer à la main ceux qui ne se sont pas appliqués.

Beazley rappelle que ces appliances voient le courrier qui les traverse, et qu’en 2023 d’autres failles d’ESG avaient déjà servi à compromettre des appareils. Rien, dans les avis du 2 au 6 novembre, ne relie les deux nouveaux CVE à cette campagne. The Hacker News indique que watchTowr a publié un outil de détection, et non un code d’exploitation.

Sources

• Avis Barracuda, mis à jour le 5 novembre 2026 à 14 h 30, heure de l’Est.

• Mandiant, MNDT-2026-0042 et MNDT-2026-0041.

• Beazley Security, 3 novembre 2026.

• The Hacker News, 6 novembre 2026.