Chaîne de vulnérabilités critiques dans les équipements Barracuda Networks (CVE-2026-116606 et CVE-2026-111560)

Le risque de sécurité provient d'une chaîne de vulnérabilités critique affectant plusieurs appliances Barracuda partageant des briques logicielles communes :

• CVE-2026-116606 (score CVSS de 9.3) - Contournement d'authentification et d'autorisation : Une faille de contournement d'authentification par chemin d'accès alternatif réside dans l'interface utilisateur d'administration (Admin UI). Un attaquant capable de joindre l'interface web d'administration peut appeler des routines de configuration privilégiées sans fournir d'identifiants valides.

• CVE-2026-111560 (score CVSS de 8.6) - Injection de commandes du système d'exploitation : Une neutralisation incorrecte des métacaractères du shell affecte le module de configuration du fuseau horaire du système. Lorsque des paramètres d'entrée forgés sont soumis à cette routine, ils sont transmis sans assainissement au shell de l'OS sous-jacent, exécutant des commandes arbitraires avec les privilèges root.

Chaîne d'exploitation : Bien que CVE-2026-111560 requière normalement des privilèges d'administration, les attaquants utilisent CVE-2026-116606 pour contourner l'authentification en amont. En envoyant des requêtes forgées à l'Admin UI, ils injectent des commandes arbitraires dans les paramètres de fuseau horaire, exécutant ainsi des charges malveillantes directement en tant que root.

Des cas d'exploitation ciblée dans la nature ont été constatés pour déployer des portes dérobées, intercepter des e-mails d'entreprise et établir une persistance au sein des réseaux internes.

• Barracuda Email Security Gateway (ESG) dans les versions antérieures à 9.4.0.030 ;
• Barracuda Load Balancer Application Delivery Controller (ADC) ;
• Barracuda Message Archiver (BMA) ;
• Barracuda Web Application Firewall (WAF) ;
• Barracuda Web Security Gateway ;
• Barracuda WAF Control Center.