Barracuda a publié le 2 novembre 2026 des correctifs pour deux vulnérabilités pouvant être combinées sur Email Security Gateway (ESG). Cette passerelle participe à la protection de la messagerie professionnelle. Pour les équipes et leurs prestataires, la priorité est de contrôler les patches réellement appliqués et l’accès à l’interface d’administration.
Deux étapes aux prérequis différents
CVE-2026-116606 permet une modification non autorisée de la configuration ESG via la restauration d’une sauvegarde préparée. Mandiant la décrit comme un contournement sans authentification. CVE-2026-111560 est une injection de commandes nécessitant des privilèges administrateur. Leur combinaison peut conduire à l’exécution de commandes avec les privilèges root, selon Barracuda.
Lire les conditions sans les confondre
SecurityWeek relève une incohérence : le tableau Barracuda mentionne un accès administrateur pour les deux failles, tout en qualifiant la première de pré-authentification. La description Mandiant clarifie cette première étape. Il faut distinguer la possibilité d’atteindre l’interface sur le réseau et la possession d’un compte administrateur. Un écran de connexion ne suffit donc pas à écarter l’exposition.
Vérifier chaque produit et chaque patch
Seul ESG est listé pour les deux failles. L’injection concerne aussi ADC, Message Archiver, WAF Control Center, Web Application Firewall et Web Security Gateway. Barracuda publie des références de patches propres aux produits et demande le firmware récent ainsi que tous les correctifs de sécurité. Une ancienne appliance peut nécessiter plusieurs mises à niveau; faites confirmer le résultat par le support ou le mainteneur.
Réduire l’exposition et examiner l’historique
Barracuda recommande de réserver l’administration aux réseaux internes de confiance. Field Effect explique pourquoi cette priorité compte : une passerelle de sécurité occupe une position sensible sur le chemin des e-mails. Si son interface était trop largement accessible, examinez les connexions administratives, les restaurations et les modifications de configuration. Il s’agit de pistes de vérification, pas d’une preuve d’intrusion ou d’interception de messages dans votre entreprise.
Le lien avec Soclyde
La maintenance ESG implique des accès privilégiés que plusieurs intervenants peuvent utiliser. Soclyde permet de les retrouver dans un coffre chiffré local et de partager les accès en Premium, sans multiplier les copies par messagerie. La limitation réseau et l’application des patches restent à réaliser sur l’infrastructure Barracuda.
À retenir
Vérifiez l’inventaire Barracuda, les patches attendus et les réseaux autorisés à administrer les appliances. Les analyses consultées n’établissent pas d’exploitation observée de ces deux failles; les incidents de 2023 ne doivent pas être présentés comme une preuve actuelle. Pour organiser les accès de maintenance, contactez Soclyde.
