Barracuda : deux failles de ses filtres d'e-mails, corrigées le 2 novembre, sont déjà exploitées

En 2023, Barracuda avait découvert qu'une faille de ses passerelles de messagerie, ces boîtiers qui filtrent les e-mails des entreprises, était exploitée depuis au moins octobre 2022 à des fins d'espionnage. Selon Mandiant, près d'un tiers des appareils piratés appartenaient alors à des administrations. Trois ans plus tard, le fabricant demande de nouveau à ses clients de vérifier leurs mises à jour.

Le 2 novembre 2026, Barracuda a publié un avis sur deux failles. Combinées, elles pourraient permettre de contourner les contrôles d'autorisation et d'obtenir un accès root, c'est-à-dire les pleins pouvoirs sur l'appareil. Aucune exploitation n'est signalée à ce stade, et des correctifs existent pour les six produits concernés.

Deux failles, six produits

• CVE-2026-116606 ne touche que l'Email Security Gateway (ESG), la passerelle de messagerie. Barracuda la décrit comme un contournement d'autorisation avant authentification. Selon BleepingComputer, elle permet de modifier la configuration globale du boîtier. Score de gravité : 9,3 sur 10.
• CVE-2026-111560 permet d'injecter des commandes qui s'exécutent avec les droits root. Elle concerne l'ESG, mais aussi le répartiteur de charge Load Balancer ADC, l'archiveur de messages (BMA), le pare-feu applicatif web (WAF) et sa console WAF Control Center, ainsi que la passerelle web WSG. Score : 8,6 sur 10.

Malgré le 9,3 de la première, Barracuda classe les deux failles en gravité « élevée », pas « critique ».

Faut-il un compte pour attaquer ?

L'avis entretient une ambiguïté. Le nom de la première faille évoque un contournement avant toute authentification, mais le tableau de Barracuda indique, pour les deux, qu'un accès administrateur est requis. Une phrase, elle, ne laisse aucun doute : l'attaquant doit pouvoir atteindre l'interface d'administration du produit. Les boîtiers dont cette interface est joignable depuis Internet sont donc les plus exposés.

Que faire ?

Les correctifs sont normalement appliqués automatiquement. Barracuda demande de s'en assurer :

• ESG : correctif BNSF-40425 pour les versions 9.4.017 et suivantes, BNSF-40430 pour les versions antérieures ;
• Load Balancer ADC et WAF : BNADC-16586 ; BMA : BNMA-32468 ; WAF Control Center : BNWF-60060 ; WSG : BNYF-24789 ;
• si le correctif n'a pas été appliqué automatiquement, l'installer à la main au plus vite, et réactiver les mises à jour automatiques si elles avaient été coupées ;
• si le micrologiciel a plusieurs versions de retard, prévoir plusieurs mises à jour successives, avec l'aide du support si besoin ;
• réserver l'interface d'administration à des réseaux internes de confiance.

Ces boîtiers attirent les attaquants. En octobre, une faille déjà exploitée touchait aussi la passerelle de messagerie de Cisco, qu'un e-mail piégé pourrait suffire à compromettre. Chez Barracuda, la faille de 2023 (CVE-2023-2868) avait servi au groupe UNC4841 à installer les logiciels espions SeaSpy et Saltwater, et une autre (CVE-2023-7102) avait été exploitée par le même groupe avant d'être connue. Reste à savoir si les failles de novembre attireront de nouveau de tels visiteurs.

Mise à jour du 12 novembre 2026

Les deux failles corrigées le 2 novembre par Barracuda sont désormais exploitées. Toutes deux touchent sa passerelle de messagerie ESG (Email Security Gateway) ; l'une d'elles, CVE-2026-111560, concerne aussi cinq autres produits. Le 9 novembre au soir, le fabricant a ajouté à son avis de sécurité une mention d'« activité d'exploitation » touchant « un petit nombre d'organisations ». Selon SecurityWeek, ni Barracuda ni la CISA, l'agence américaine de cybersécurité, n'ont donné de détails sur ces attaques. Le site cite la société Previdian : elle a relevé 17 tentatives visant CVE-2026-116606 entre le 9 et le 11 novembre, depuis 15 adresses IP situées dans trois pays.

Le 10 novembre, la CISA a inscrit CVE-2026-116606 et CVE-2026-111560 à son catalogue des vulnérabilités activement exploitées (KEV, pour Known Exploited Vulnerabilities). Les administrations fédérales civiles américaines ont jusqu'au 13 novembre pour corriger. Le catalogue leur demande aussi d'examiner les appareils, pour vérifier qu'ils n'ont pas été compromis avant la mise à jour.

Barracuda a aussi levé l'ambiguïté sur l'authentification. Il a révisé son avis le 5 novembre : pour CVE-2026-116606, la ligne « authentification requise » indique désormais « non (accès à l'interface d'administration requis) », et non plus « oui, accès administrateur ». L'attaquant n'a donc pas besoin de compte : il lui suffit de pouvoir joindre l'interface d'administration du boîtier. CVE-2026-111560 exige toujours des droits d'administrateur. Selon Barracuda, les deux failles, enchaînées, pourraient permettre à un attaquant d'obtenir un accès root à l'appareil. Le fabricant recommande de vérifier que les correctifs sont bien installés et de réserver l'interface d'administration à des réseaux internes de confiance.