Ing. Calogero Bono
Barracuda a publié des correctifs pour deux vulnérabilités qui, utilisées ensemble, permettent à un attaquant distant d'exécuter des commandes en root sur l'Email Security Gateway sans aucune authentification. Le CSIRT Italia a émis une alerte, signalant la disponibilité d'une preuve de concept (PoC). La société watchTowr a publié l'analyse technique de la chaîne. Cela compte parce que l'appliance filtre le courrier de l'entreprise et, si elle est exposée, devient un point d'entrée très sensible.
Quelques termes, avant d'entrer dans les faits. CVE est le code qui identifie une vulnérabilité connue. PoC (Proof of Concept) est une démonstration qui prouve comment exploiter une faille. Authentication bypass signifie contourner le contrôle d'accès. Command injection est l'insertion de commandes système dans un champ qui ne devrait contenir que des données. CVSS est le score de gravité de 0 à 10.
Que s'est-il passé avec Barracuda ?
Selon l'alerte de l'ACN, une PoC est disponible pour deux failles, CVE-2026-116606 et CVE-2026-111560, qui touchent plusieurs produits Barracuda. Combinées, elles permettent à un attaquant distant qui atteint l'interface d'administration de contourner l'authentification et d'exécuter du code arbitraire.
Comme le rapporte The Hacker News, l'entreprise a publié les correctifs lundi et watchTowr a détaillé la chaîne jeudi.
Comment fonctionnent les deux failles ?
La CVE-2026-116606 est un contournement de l'authentification et vaut 9,3 sur 10 (CVSS 4.0). Elle ne concerne que l'Email Security Gateway. Selon l'ACN, elle naît d'une erreur lors du changement de mot de passe administrateur. Quand le changement échoue, le logiciel signale l'erreur mais ne bloque pas la requête.
La CVE-2026-111560 est une injection de commandes notée 8,6. Le champ du fuseau horaire (system_timezone) ne neutralise pas les métacaractères du shell et les commandes sont exécutées avec des privilèges élevés. En principe il faut un compte administrateur, mais sur l'ESG le contournement l'accorde.
Comment arrive-t-on à root sans login ?
Selon l'analyse de watchTowr, reprise par The Hacker News, le changement de mot de passe raté donne à l'attaquant un rôle à faibles privilèges au lieu de bloquer la requête. Cela laisse ouverte une fonction de restauration des sauvegardes.
La sauvegarde envoyée contient une valeur de fuseau horaire que l'appliance exécute ensuite comme commande shell avec les droits root. Barracuda protège les sauvegardes par une somme de contrôle, mais le secret pour la calculer est écrit dans le code, donc il peut être falsifié. watchTowr a démontré l'attaque en écrivant un fichier en root.
Quels produits sont concernés et comment corriger ?
L'injection de commandes touche six produits.
- Email Security Gateway
- Load Balancer ADC
- Message Archiver
- WAF Control Center
- Web Application Firewall
- Web Security Gateway
Sur les cinq autres que l'ESG, un compte administrateur est encore nécessaire. Barracuda propose un correctif pour chaque produit. L'Email Security Gateway est corrigé à partir de la version 9.4.0.030. Si tu ne peux pas mettre à jour tout de suite, limite l'interface d'administration aux réseaux internes de confiance et réactive les mises à jour automatiques si tu les avais coupées.
Limites à connaître
Aucune des deux failles ne figure dans le catalogue KEV de la CISA et aucun rapport public ne les relie à une attaque. watchTowr a diffusé un outil de détection mais pas d'exploit. Il reste à voir si des exploits publics apparaîtront. Les deux sources décrivent le contournement de façon un peu différente, et la liste complète des versions ne figure que dans le bulletin du fournisseur.
Ce qui change pour ceux qui travaillent dans le numérique
Si ton entreprise utilise une appliance Barracuda, vérifie tout de suite la version du firmware et applique le correctif. Contrôle ensuite si l'interface d'administration est accessible depuis internet, car c'est la condition de l'attaque. Qui gère une infrastructure peut restreindre l'accès comme on le fait avec un sous-réseau privé et des security groups. Si tu confies tes serveurs à un tiers, demande qui s'occupe des mises à jour, comme dans l'hébergement géré.
Notre avis
Ce cas montre une erreur classique. Un contrôle qui signale le problème sans interrompre le flux ne vaut pas grand-chose. À cela s'ajoute un secret fixe dans le code pour la somme de contrôle, qui n'arrête personne. Une défense périmétrique ne devrait pas ouvrir un accès root à distance. Rappelle-toi aussi la faille d'APT avec des installations en root. Pas besoin de dramatiser, mais le correctif doit être appliqué maintenant.
Questions fréquentes
Faut-il un login pour exploiter la chaîne sur Barracuda ESG ?
Non. Selon The Hacker News, les deux failles combinées mènent à root sans authentification. L'attaquant doit toutefois pouvoir atteindre l'interface d'administration de l'appliance.
Quelles versions de l'Email Security Gateway sont corrigées ?
La version 9.4.0.030 et les suivantes. Le détail pour chaque produit se trouve dans le bulletin de sécurité de Barracuda.
Les failles sont-elles déjà exploitées dans des attaques ?
Rien ne l'indique. Les sources disent qu'elles ne figurent pas dans le catalogue KEV de la CISA et qu'aucun rapport public ne les lie à une attaque. Une PoC est en revanche disponible.
Que faire si je ne peux pas mettre à jour tout de suite ?
Limite l'interface d'administration aux réseaux internes de confiance. Réactive aussi les mises à jour automatiques si tu les avais désactivées.
Qui a attribué les deux CVE ?
Mandiant, selon The Hacker News. Mandiant, qui a attribué les deux CVE, a évalué le bypass à 9,3 sur 10 et l'injection de commandes à 8,6.
Ce qu'il faut surveiller dans les prochaines semaines sur les appliances Barracuda
Le correctif existe, mais la PoC est disponible et la fenêtre entre l'annonce et les attaques se raccourcit. Il vaut la peine de suivre l'évolution.
- Vérifie si les deux CVE entrent dans le catalogue KEV de la CISA ou si des exploits publics apparaissent.
- Utilise l'outil de détection de watchTowr pour contrôler tes appliances.
- Relis le bulletin Barracuda pour les produits autres que l'ESG et confirme les versions corrigées.
