Des attaquants exploitent deux vulnérabilités Barracuda récemment corrigées, qui peuvent être combinées pour contourner les contrôles d'autorisation et obtenir un accès root sur un appareil. SecurityWeek a rapporté que Barracuda a confirmé une exploitation visant un petit nombre d'organisations, ce qui fait des mises à jour et des restrictions d'accès administratif une priorité immédiate pour les opérateurs concernés.
Le contournement d'authentification touche Barracuda Email Security Gateway (ESG). La seconde vulnérabilité, une faille d'injection de commandes au niveau du système d'exploitation, touche ESG et plusieurs autres produits d'appliance Barracuda. La CISA les a ajoutées toutes deux à son catalogue des vulnérabilités connues exploitées le 10 novembre 2026, avec une date de correction indiquée au 13 novembre et une exigence de tri forensique dans la réponse fédérale applicable.
Comment les vulnérabilités se connectent
La CVE-2026-116606, dont le score CVSS est de 9,3, permet à un attaquant distant non authentifié pouvant atteindre l'interface d'administration d'ESG d'invoquer une fonction d'importation de configuration. En restaurant une archive de sauvegarde forgée et compatible, l'attaquant peut apporter des modifications non autorisées à la configuration globale de l'appareil, selon le catalogue de la CISA.
La seconde faille, la CVE-2026-111560, a un score CVSS de 8,6. Elle touche ESG, Load Balancer/Application Delivery Controller (ADC), Web Application Firewall (WAF), Web Security Gateway (WSG), Message Archiver (BMA) et WAF Control Center (WCC).
Son exploitation exige un accès administratif authentifié. La CISA décrit un attaquant insérant des commandes OS dans une valeur de fuseau horaire forgée ; ces commandes s'exécutent avec les privilèges root lorsque cette valeur est ensuite traitée.
Les prérequis comptent : le contournement d'authentification concerne ESG, tandis que l'injection de commandes a un périmètre de produits plus large. La CISA indique que les deux vulnérabilités peuvent être enchaînées, et Barracuda a averti le 2 novembre que leur combinaison pourrait permettre à un attaquant de contourner les contrôles d'autorisation et d'obtenir un accès root sur un appareil, selon SecurityWeek.
Une semaine après cet avertissement, Barracuda a mis à jour son avis pour reconnaître une exploitation visant un petit nombre d'organisations. Par ailleurs, SecurityWeek rapporte que la société de cybersécurité Previdian a observé 17 tentatives visant la CVE-2026-116606 entre le 9 et le 11 novembre, provenant de 15 adresses IP réparties dans trois pays.
Ces observations comptent des tentatives. L'avis de Barracuda et les entrées du catalogue de la CISA établissent la préoccupation liée à l'exploitation ; les scores CVSS décrivent la gravité. La CISA indique que l'utilisation de ces vulnérabilités dans des campagnes de rançongiciels est inconnue, pour les deux.
La réponse fédérale inclut un tri forensique
Les entrées du catalogue de la CISA demandent aux agences concernées d'appliquer les mesures d'atténuation selon les instructions du fournisseur et de se conformer à la Binding Operational Directive 26-04 (BOD 26-04) et à ses exigences de tri forensique. Elles demandent aussi de suivre les recommandations cloud applicables ou, si aucune atténuation n'est disponible, de cesser d'utiliser le produit.
La date du 13 novembre figurant au catalogue s'inscrit dans une directive qui régit les agences du pouvoir exécutif civil fédéral américain. Selon le BOD 26-04, les délais de réponse propres à chaque actif dépendent de l'exposition publique, du statut KEV, de la possibilité d'automatiser l'exploitation et de l'impact technique. Les agences doivent évaluer l'exposition de chaque actif ; la date du catalogue n'est pas un délai légal universel pour toutes les organisations ni pour tous les appareils.
Pour la catégorie de réponse de trois jours, la directive exige une remédiation ou une atténuation dans ce délai, ainsi qu'un tri forensique pour évaluer la compromission. Retirer un système d'Internet peut modifier sa classification d'exposition et le calendrier des actions ultérieures.
Le guide de mise en œuvre de la CISA demande aux agences de délimiter les systèmes touchés et de préserver les preuves avant de les modifier ou de les corriger, dans la mesure du possible. Les données volatiles doivent être collectées en premier, avec tenue à jour des registres de collecte, car l'application de correctifs et le confinement peuvent détruire des artefacts nécessaires à l'analyse.
Les agences doivent ensuite appliquer les correctifs critiques, coordonner le confinement avec la collecte de preuves, isoler les systèmes touchés ou suspectés et examiner les preuves d'accès non autorisé, de présence d'un attaquant, de mouvement latéral, de persistance, ainsi que de préparation de données (data staging) ou d'exfiltration. Les délais cibles de tri indiqués dans le guide constituent des pratiques recommandées ; l'exigence réelle est de mener un tri forensique adéquat.
Les administrateurs des produits Barracuda concernés doivent installer rapidement les mises à jour applicables. SecurityWeek recommande également de ne pas exposer les interfaces d'administration sur Internet public et de restreindre l'accès aux réseaux internes de confiance. Les agences fédérales concernées doivent associer l'atténuation préconisée par le fournisseur à l'évaluation requise pour détecter une éventuelle compromission.
