Barracuda a corrigé le 5 novembre 2026 une information importante dans son avis de sécurité consacré à CVE-2026-116606. Cette vulnérabilité, qui touche l’Email Security Gateway (ESG), ne nécessite finalement pas d’authentification pour être exploitée. La condition reste toutefois déterminante : l’interface d’administration de l’équipement doit être accessible à l’attaquant.
L’avis indiquait auparavant qu’un accès administratif était requis. Barracuda précise désormais que le champ relatif à l’authentification est passé de « oui, accès administratif » à « non, accès à l’interface d’administration requis ». Cette nuance modifie l’évaluation opérationnelle du risque pour les organisations qui ont exposé cette interface sur Internet.
CVE-2026-116606 est décrite comme une vulnérabilité de contournement d’autorisation avant authentification. Elle reçoit un score CVSS de 9,3 sur 10 et une sévérité élevée selon Barracuda. L’éditeur a également identifié CVE-2026-111560, une faille d’injection de commandes notée 8,6 sur 10. Cette seconde vulnérabilité exige un accès administratif.
Le risque principal réside dans le chaînage des deux failles. D’après Barracuda, un attaquant ayant accès à l’interface d’administration d’un produit concerné pourrait contourner les contrôles d’autorisation puis, en combinant les vulnérabilités, obtenir un accès root à l’équipement.
L’Email Security Gateway est affectée par les deux CVE. La faille d’injection de commandes concerne aussi les produits Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall et Web Security Gateway. Pour ESG, Barracuda indique les correctifs BNSF-40425 sur la branche 9.4.017 ou ultérieure, et BNSF-40430 pour les versions antérieures.
L’éditeur recommande de limiter l’accès aux interfaces d’administration aux réseaux internes de confiance, d’appliquer des contrôles d’accès réseau appropriés et de vérifier que les appareils utilisent le dernier firmware avec tous les correctifs installés. Si les mises à jour automatiques sont désactivées, elles doivent être réactivées ; un correctif non déployé automatiquement doit être appliqué sans attendre.
