# Barracuda : deux failles sur la passerelle e-mail peuvent mener à root sans identifiant

> Les correctifs datent du 2 novembre 2026. Le 5 novembre, Barracuda a précisé que le contournement ne demande pas d’être connecté, si l’interface d’administration est joignable.

- Source : KLYNLABS (https://klynlabs.eu)
- URL : https://klynlabs.eu/articles/barracuda-esg-cve-2026-116606-acces-root-sans-identifiant
- Auteur : Kelvyn
- Publié le : 7 novembre 2026 (2026-11-07T04:44:43.805Z)
- Rubrique : Cybersécurité
- Sujets : Correctif, Barracuda, CVE-2026-116606, Passerelle e-mail
- Langue : français

Deux failles de Barracuda, publiées le 2 novembre 2026, peuvent, si on les enchaîne, donner un accès root à une passerelle de sécurité e-mail sans identifiant, à condition que l’interface d’administration soit joignable.

Le 6 novembre, The Hacker News a rendu compte d’une analyse de watchTowr, datée de la veille selon le média. Les correctifs, eux, ont déjà quatre jours. Le point utile pour les exploitants n’est pas le détail de la chaîne : il est de savoir quelle version installer, et que Barracuda a corrigé le 5 novembre une ambiguïté de son propre avis. Le même type de prise de contrôle root a déjà concerné d’autres passerelles de messagerie, comme [Cisco Secure Email Gateway](https://klynlabs.eu/articles/cisco-secure-email-gateway-faille-critique-root-cve).

## À retenir

- CVE-2026-116606, contournement d’authentification, score CVSS 9,3 selon Mandiant. Passerelle e-mail ESG antérieure à 9.4.0.030. Pas de compte requis, mais l’interface d’administration doit répondre.
- CVE-2026-111560, injection de commandes, score 8,6. Elle exige un administrateur déjà connecté. Elle touche aussi l’équilibreur ADC, le pare-feu WAF, la passerelle WSG, l’archiveur BMA et le centre WCC.
- Barracuda nomme les correctifs, pas une seule version dans son avis : BNSF-40425 à partir de 9.4.017 et BNSF-40430 en dessous, pour l’ESG. Les numéros 9.4.017 et 9.4.0.030 ne sont pas écrits de la même façon selon les documents.
- Au 6 novembre, The Hacker News ne les trouvait pas au catalogue KEV de la CISA. Beazley Security, le 3 novembre, ne signalait pas d’exploitation active à cette date.

## Ce que chaque avis attribue à chaque produit

L’[avis Barracuda](https://trust.barracuda.com/security/pre-authentication-authorization-bypass-command-injection), mis à jour le 5 novembre 2026 à 14 h 30, heure de l’Est, a changé le champ « authentification requise » de CVE-2026-116606. Il disait d’abord qu’un accès administrateur était nécessaire. Il dit désormais : non, mais l’interface d’administration doit être accessible à l’attaquant. La combinaison des deux failles « could allow an attacker to bypass authorization controls and obtain root access to the device ».

Mandiant, qui a attribué les identifiants, publie deux notes distinctes. [MNDT-2026-0042](https://github.com/mandiant/Vulnerability-Disclosures/blob/master/2026/MNDT-2026-0042.md) décrit CVE-2026-116606 : sur un ESG antérieur à 9.4.0.030, un attaquant distant non authentifié peut appeler une fonction d’import de configuration et restaurer une archive de sauvegarde compatible, ce qui modifie la configuration globale. [MNDT-2026-0041](https://github.com/mandiant/Vulnerability-Disclosures/blob/master/2026/MNDT-2026-0041.md) décrit CVE-2026-111560 : un administrateur déjà authentifié peut faire exécuter des commandes du système avec les droits root. Les versions citées par Mandiant vont jusqu’à 9.4.0.27 pour l’ESG, 6.4.0 pour l’ADC, 11.0.1 pour le WAF, 16.1.100.100 pour le WSG, 5.5.4.0 pour le BMA et 2.2.1 pour le WCC.

Le tableau de correctifs de Barracuda, lui, ne reprend pas ces seuils. Il donne des identifiants de correctif : BNSF-40425 pour les ESG en 9.4.017 et au-dessus, BNSF-40430 en dessous de 9.4.017, BNADC-16586 pour l’ADC et le WAF, BNMA-32468 pour l’archiveur, BNWF-60060 pour le centre de contrôle WAF, BNYF-24789 pour la passerelle de sécurité web. Beazley Security, dans un avis du 3 novembre, lit le seuil Mandiant de l’ESG comme une montée vers 9.4.0.030 ou plus, qui couvrirait les deux failles sur ce seul produit. Les autres produits ne sont concernés que par l’injection de commandes.

L’écart d’écriture, 9.4.017 d’un côté et 9.4.0.030 de l’autre, est dans les documents, pas une extrapolation. Le geste sûr est d’appliquer le correctif nommé par Barracuda pour son produit, de laisser l’appliance afficher la version qu’elle propose, et de refaire la mise à jour si le micrologiciel a plusieurs versions de retard. Barracuda prévient qu’un saut direct n’est pas toujours possible.

## L’interface d’administration est le vrai périmètre

Barracuda écrit que les organisations dont l’interface d’administration n’est pas joignable depuis Internet sont moins exposées à ce chemin. La recommandation, si le correctif ne peut pas être posé tout de suite, est de limiter cette interface à des réseaux internes de confiance. Si les correctifs automatiques ont été coupés, l’éditeur demande de les rétablir, et d’installer à la main ceux qui ne se sont pas appliqués.

Beazley rappelle que ces appliances voient le courrier qui les traverse, et qu’en 2023 d’autres failles d’ESG avaient déjà servi à compromettre des appareils. Rien, dans les avis du 2 au 6 novembre, ne relie les deux nouveaux CVE à cette campagne. The Hacker News indique que watchTowr a publié un outil de détection, et non un code d’exploitation.

## Sources

- [Avis Barracuda](https://trust.barracuda.com/security/pre-authentication-authorization-bypass-command-injection), mis à jour le 5 novembre 2026 à 14 h 30, heure de l’Est.
- [Mandiant, MNDT-2026-0042](https://github.com/mandiant/Vulnerability-Disclosures/blob/master/2026/MNDT-2026-0042.md) et [MNDT-2026-0041](https://github.com/mandiant/Vulnerability-Disclosures/blob/master/2026/MNDT-2026-0041.md).
- [Beazley Security, 3 novembre 2026](https://labs.beazley.security/advisories/BSL-A1240).
- [The Hacker News, 6 novembre 2026](https://thehackernews.com/2026/11/experts-demonstrate-barracuda-email.html).

---

Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/barracuda-esg-cve-2026-116606-acces-root-sans-identifiant