Un attaquant qui pouvait atteindre l’interface d’administration d’une passerelle Barracuda Email Security Gateway vulnérable pouvait combiner deux failles pour obtenir un accès root, le plus haut niveau de contrôle de l’appareil. Barracuda a annoncé le 9 novembre avoir observé l’exploitation de failles touchant un petit nombre d’organisations. Son avis ne donne pas de chiffre précis.
Le 10 novembre, l’agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté les deux failles, CVE-2026-116606 et CVE-2026-111560, à son catalogue des vulnérabilités connues pour être exploitées. Elle a fixé au 13 novembre la date limite de correction et signalé les deux entrées pour un examen forensique initial. Le 13 novembre est l’échéance fédérale pour la correction. Dans un bulletin du 9 novembre, la CISA a expliqué que la directive opérationnelle contraignante 26-04 s’applique aux agences civiles de l’exécutif fédéral.
Les deux failles fonctionnent différemment. Selon l’avis de sécurité de Barracuda, la première permet de contourner l’authentification sur Email Security Gateway si l’attaquant peut atteindre l’interface d’administration. La seconde permet à un attaquant disposant d’un accès administrateur d’exécuter des commandes avec les privilèges root. La passerelle est le seul produit que Barracuda indique comme touché par les deux failles. Cinq autres produits cités dans l’avis ne sont concernés que par l’injection de commandes.
Pour les administrateurs de la passerelle, la première vérification porte sur les personnes qui peuvent atteindre l’interface d’administration. Barracuda recommande de limiter cet accès aux réseaux internes de confiance. Il faut ensuite vérifier le micrologiciel et l’état du correctif sur l’appareil : Barracuda indique le correctif BNSF-40425 pour la version 9.4.017 du micrologiciel de la passerelle et les versions ultérieures, et BNSF-40430 pour les versions antérieures. Si le correctif approprié ne s’est pas installé automatiquement, l’entreprise conseille de l’appliquer manuellement dès que possible. Les appareils dont le micrologiciel accuse plusieurs versions de retard peuvent nécessiter plusieurs mises à jour.
Reste à savoir si quelqu’un s’est introduit dans le système avant l’application du correctif. Un correctif installé indique quelle protection est en place aujourd’hui. Il ne dit pas qui a pu accéder à l’appareil auparavant. C’est pourquoi le signalement dans le catalogue pour un examen forensique initial reste utile même après l’installation du correctif.