Barracuda a publié le 2 novembre 2026 des correctifs pour deux failles qui, enchaînées, donnent un accès root à ses passerelles email, pare-feu applicatifs et répartiteurs de charge. Si votre PME utilise un boîtier Barracuda, vérifiez aujourd’hui que le correctif est appliqué et que l’interface d’administration n’est pas exposée sur Internet.
Deux failles Barracuda qui mènent au root
La première faille, CVE-2026-116606 (CVSS 9,3), touche l’Email Security Gateway (ESG). Il s’agit d’un contournement d’autorisation qui permet de modifier la configuration globale de l’appareil sans disposer des droits normalement requis. La seconde, CVE-2026-111560 (CVSS 8,6), est une injection de commandes système exécutées en root. Elle concerne une gamme plus large : ESG, Load Balancer ADC, Message Archiver, WAF, WAF Control Center et Web Security Gateway.
Prises séparément, ces failles sont sérieuses. Combinées, elles permettent à un attaquant de passer outre les contrôles d’autorisation puis de prendre le contrôle total du boîtier. Barracuda précise une condition importante : l’attaquant doit pouvoir atteindre l’interface d’administration du produit. C’est là que se joue l’essentiel du risque pour une PME.
Pourquoi une passerelle email compromise coûte cher
Une passerelle email voit passer tout le courrier de l’entreprise : factures, échanges avec les clients, réinitialisations de mots de passe, pièces jointes sensibles. Un attaquant root sur ce boîtier peut lire ou détourner les messages, désactiver le filtrage antispam et antiphishing, ou s’en servir comme point d’appui vers le réseau interne. Et comme il s’agit d’un appareil fermé, rarement surveillé par l’EDR, l’intrusion peut durer longtemps sans être remarquée.
Le précédent existe. En 2023, le groupe UNC4841, lié à la Chine, a exploité des failles zero-day de l’ESG (CVE-2023-2868 puis CVE-2023-7102) pour installer des portes dérobées persistantes. Barracuda avait fini par recommander le remplacement physique de certains boîtiers, les correctifs ne suffisant plus à garantir leur intégrité. À ce jour, aucune exploitation active des deux nouvelles failles n’a été signalée, mais les équipements Barracuda font partie des cibles régulières des attaquants.
Correctifs Barracuda : les versions à vérifier
Barracuda indique que les correctifs sont normalement déployés automatiquement. Le risque vient donc surtout des boîtiers dont la mise à jour automatique a été désactivée, ou dont le firmware a plusieurs versions de retard. Dans ce cas, plusieurs mises à jour successives peuvent être nécessaires. Les références publiées par l’éditeur sont les suivantes :
- Email Security Gateway : BNSF-40425 (firmware 9.4.017 et suivants) ou BNSF-40430 (versions antérieures à 9.4.017) ;
- Load Balancer ADC et WAF : BNADC-16586 ;
- Message Archiver : BNMA-32468 ;
- WAF Control Center : BNWF-60060 ;
- Web Security Gateway : BNYF-24789.
Le boîtier affiche lui-même la dernière version de firmware disponible. Si vous passez par un prestataire informatique, demandez-lui une confirmation écrite, avec le numéro de version installé, plutôt qu’un simple « c’est à jour ».
L’exposition de l’interface d’administration, vrai facteur de risque
Barracuda le rappelle : les organisations dont l’interface d’administration n’est pas accessible depuis Internet sont nettement moins exposées. Or il est fréquent, dans les PME, qu’un prestataire ait ouvert cette interface pour administrer le boîtier à distance, puis l’ait laissée ouverte. Un attaquant n’a alors besoin que d’un scan pour la trouver.
La bonne pratique est simple : l’interface d’administration ne doit être joignable que depuis le réseau interne ou un VPN, avec une liste restreinte d’adresses autorisées. Cette règle vaut pour tous vos équipements de sécurité, pas seulement Barracuda. C’est aussi le type de mauvaise configuration qu’une surveillance continue repère avant qu’un attaquant ne l’exploite.
Pour surveiller en continu vos équipements exposés et détecter une compromission avant qu’elle ne s’installe, découvrez notre SOC managé pour PME et ETI.
Que faire maintenant
- Vérifiez sur l’interface de chaque boîtier Barracuda que la version de firmware est la dernière et que le correctif correspondant est installé.
- Réactivez la mise à jour automatique des correctifs si elle a été désactivée.
- Restreignez l’accès à l’interface d’administration au réseau interne ou au VPN, avec une liste d’adresses autorisées.
- Contrôlez les journaux d’administration et la configuration globale de l’appareil pour repérer toute modification récente non expliquée.
- Demandez à votre prestataire une confirmation écrite des versions installées et de l’état d’exposition de chaque équipement.
Si vous soupçonnez qu’un équipement a déjà été compromis, suivez notre méthode pour vérifier un pare-feu ou un VPN compromis en 7 étapes.
Ce qu’il faut retenir
- Deux failles Barracuda (CVE-2026-116606 et CVE-2026-111560), enchaînées, donnent un accès root aux passerelles et pare-feu applicatifs.
- L’exploitation suppose un accès à l’interface d’administration : c’est son exposition sur Internet qui fait le risque.
- Les correctifs sont disponibles et normalement automatiques, sauf si la mise à jour automatique a été coupée.
- L’historique d’UNC4841 en 2023 montre qu’un boîtier compromis peut rester infecté longtemps sans être détecté.