Failles de la passerelle e-mail Barracuda exploitées
Deux failles du Barracuda Email Security Gateway corrigées le 2 novembre sont désormais exploitées. Produits touchés, correctifs et points à vérifier.
Si votre entreprise filtre ses e-mails avec un boîtier Barracuda Email Security Gateway, deux failles corrigées début novembre sont désormais exploitées. Barracuda a publié son bulletin le 2 novembre 2026, puis l’a mis à jour le soir du 9 novembre pour signaler une exploitation touchant « un petit nombre d’organisations ». Le 10 novembre, l’agence américaine CISA a ajouté les deux failles à son catalogue des vulnérabilités activement exploitées.
Les deux failles
D’après le bulletin de sécurité de Barracuda :
- CVE-2026-116606 (CVSS 9,3) ne concerne que l’Email Security Gateway. Elle permet à quiconque peut joindre l’interface web d’administration du boîtier de contourner les contrôles d’autorisation sans se connecter, de restaurer une sauvegarde piégée et de modifier la configuration. Barracuda l’avait d’abord décrite comme nécessitant un compte administrateur, avant de rectifier le 5 novembre.
- CVE-2026-111560 (CVSS 8,6) est une injection de commandes qui suppose un accès administrateur et exécute les commandes en root. Elle touche aussi les produits Barracuda Load Balancer ADC, Message Archiver, WAF, WAF Control Center et Web Security Gateway.
Combinées, selon Barracuda, elles pourraient permettre de contourner l’autorisation et d’obtenir un accès root sur un Email Security Gateway. SecurityWeek indique que ni Barracuda ni la CISA n’ont détaillé les attaques, et que les agences fédérales ont trois jours pour corriger.
Pourquoi c’est important pour une PME
La passerelle de messagerie voit passer chaque e-mail envoyé et reçu par l’entreprise. Un attaquant qui en prend le contrôle total peut lire ou modifier le courrier et s’en servir comme tête de pont sur le réseau. C’est une raison d’agir même si vous ne vous êtes jamais connecté au boîtier, ce qui est courant lorsqu’un prestataire l’a installé il y a des années.
Le bulletin ne cite pas le service hébergé Barracuda Email Protection parmi les produits concernés, seulement les boîtiers mentionnés plus haut. Si vous ne savez pas lequel vous utilisez, regardez vos contrats ou demandez à la personne qui gère votre messagerie.
Que faire
- Vérifiez que les correctifs sont installés. Pour l’Email Security Gateway, il s’agit de BNSF-40425 à partir de la version 9.4.017, ou BNSF-40430 pour les versions plus anciennes. Le bulletin précise le correctif de chaque autre produit. Barracuda demande de l’appliquer manuellement s’il ne l’a pas été automatiquement, et d’activer les mises à jour automatiques.
- Mesurez le retard du firmware. Selon Barracuda, un boîtier en retard de plusieurs versions peut nécessiter plusieurs mises à jour successives. En cas de doute, contactez le support Barracuda.
- Retirez l’interface d’administration d’internet. Barracuda conseille de la limiter aux réseaux internes de confiance ; les organisations dont l’interface n’est pas exposée sont moins exposées à ce scénario d’attaque.
- Passez en revue les comptes administrateurs du boîtier et changez les mots de passe partagés ou par défaut une fois le correctif appliqué.
- Si le boîtier était exposé et non corrigé après le 2 novembre, considérez qu’il a pu être compromis et faites-le examiner, au lieu de simplement le mettre à jour.
Ni Barracuda ni la CISA n’ont encore publié d’indicateurs de compromission : surveillez les mises à jour du bulletin.
Besoin d’aide ?
La messagerie est l’une des principales portes d’entrée des attaques visant les PME : les outils qui la filtrent méritent la même attention que le pare-feu. Notre service de sécurité de la messagerie et protection contre le phishing couvre le filtrage et ses réglages, et nos services de cybersécurité comprennent la vérification de ce que votre réseau expose sur internet. Pour faire vérifier un boîtier Barracuda, appelez le (213) 986-4855.