Faille Barracuda Email Security Gateway : un accès root sans mot de passe, mettez votre filtre courriel à jour
Le filtre qui trie vos courriels avant qu’ils arrivent dans Outlook voit passer tout ce que votre entreprise reçoit et envoie : factures, contrats, réinitialisations de mots de passe. Si un pirate en prend le contrôle, il est aux premières loges. C’est exactement ce que permet une nouvelle faille Barracuda Email Security Gateway, corrigée le lundi 2 novembre 2026 et expliquée en détail le jeudi 5 novembre par la firme watchTowr.
Deux failles s’enchaînent (CVE-2026-116606, note 9,3 sur 10, et CVE-2026-111560, note 8,6). Ensemble, elles donnent à un attaquant qui n’a aucun mot de passe un accès root, c’est-à-dire le contrôle total de l’appareil. La seule condition : pouvoir atteindre la page d’administration de l’appareil. Aucune attaque n’a été signalée publiquement à ce jour, mais la recette est maintenant publique.
Faille Barracuda Email Security Gateway : remplissez la fiche de votre appareil
Avant de paniquer, il faut savoir si vous êtes concerné. Prenez cinq minutes avec votre fournisseur TI pour remplir cette fiche :
Comment quatre petites erreurs donnent un accès root
Aucune des erreurs n’est spectaculaire seule. C’est leur enchaînement qui ouvre la porte :
La chaîne décrite par watchTowr
Erreur 1
Un changement de mot de passe raté… qui laisse entrer
Quand une demande de changement de mot de passe échoue, l’appareil ne bloque pas la requête : il donne à l’attaquant un petit rôle d’utilisateur.
Erreur 2
La restauration de sauvegarde devient accessible
Ce petit rôle suffit pour atteindre la fonction qui restaure une sauvegarde de configuration, normalement réservée aux administrateurs.
Erreur 3
Une clé secrète écrite dans le code
Les sauvegardes sont protégées par une somme de contrôle, mais la clé qui sert à la calculer est la même partout et se trouve dans le logiciel. L’attaquant peut donc fabriquer une « vraie » fausse sauvegarde.
Erreur 4
Le fuseau horaire exécuté en root
La sauvegarde contient un champ « fuseau horaire » que l’appareil passe ensuite à une commande système avec les droits root. L’attaquant y glisse sa propre commande.
Résultat : l’attaquant peut lire et modifier la configuration, détourner ou copier les courriels qui passent, et se servir de l’appareil comme point d’appui pour aller plus loin dans votre réseau. Barracuda a modifié son avis le 5 novembre pour préciser qu’aucune authentification n’est nécessaire, seulement l’accès à l’interface d’administration.
Quels produits Barracuda sont touchés
| Produit | Faille 1 (contournement) | Faille 2 (commande root) | Ce qu’il faut faire |
|---|---|---|---|
| Email Security Gateway (ESG) | Oui | Oui | Passer à 9.4.0.030 ou plus récent (correctifs BNSF-40425 / BNSF-40430). Priorité absolue. |
| Web Application Firewall (WAF) | Non | Oui, avec un compte admin | Appliquer le correctif BNADC-16586. |
| Load Balancer ADC | Non | Oui, avec un compte admin | Appliquer le correctif BNADC-16586. |
| Message Archiver | Non | Oui, avec un compte admin | Appliquer le correctif BNMA-32468. |
| Web Security Gateway | Non | Oui, avec un compte admin | Appliquer le correctif BNYF-24789. |
| WAF Control Center | Non | Oui, avec un compte admin | Appliquer le correctif BNWF-60060. |
Sur les cinq autres produits, la faille 2 demande un compte administrateur. Le risque est donc plus faible, mais pas nul : un mot de passe d’admin volé ou réutilisé suffit. Profitez du correctif pour changer ces mots de passe.
⏱️ Pourquoi agir même sans attaque connue
Les appareils de sécurité placés en bordure de réseau sont parmi les cibles préférées des pirates. En 2023, une autre faille de ce même appareil avait été exploitée pendant des mois, au point où Barracuda avait demandé de remplacer les appareils touchés. Quand une recette détaillée est publiée, les premiers balayages d’Internet arrivent souvent en quelques jours. Nous avons vu le même scénario avec la faille Cisco ASA et le zero-day Zyxel GS1900.
Vos 6 vérifications cette semaine
À faire avec votre fournisseur TI
- ☐ Confirmer si vous avez un Email Security Gateway ou un autre produit Barracuda du tableau (physique ou virtuel).
- ☐ Installer le correctif ou passer à la version 9.4.0.030 ou plus récente, puis noter la date et la version.
- ☐ Fermer l’accès à la page d’administration depuis Internet : bureau ou VPN seulement.
- ☐ Réactiver les mises à jour automatiques si elles avaient été désactivées.
- ☐ Changer les mots de passe administrateurs des appareils Barracuda et activer la MFA quand elle est offerte.
- ☐ Si la page d’admin était ouverte sur Internet : faire vérifier les journaux et la configuration (règles de transfert, comptes ajoutés, fichiers inconnus) depuis le 2 novembre.
Vous utilisez un service de filtrage dans le nuage plutôt qu’un appareil? L’avis vise les appareils listés ci-dessus. Demandez quand même à votre fournisseur, par écrit, s’il utilise un de ces produits pour vous et s’il a appliqué le correctif.
Comment NeoTech peut vous aider
Nous faisons l’inventaire des appareils réseau et de sécurité qui dorment dans vos locaux, nous vérifions lesquels sont visibles depuis Internet et nous appliquons les correctifs dans le bon ordre. Notre surveillance automatisée 24/7 avec intervention du technicien de garde réagit si une page d’administration est attaquée ou si une configuration change sans raison. Découvrez nos services de cybersécurité.
Réservez votre Bilan cyber gratuit
En 30 minutes, nous regardons votre filtre courriel, votre pare-feu et vos autres appareils en bordure de réseau, et nous vous disons lesquels sont exposés et à jour.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Nos bureaux : 2572, boul. Daniel-Johnson, bureau 237, Laval.
Sources
- Barracuda — avis de sécurité CVE-2026-116606 et CVE-2026-111560 (publié le 2 nov., mis à jour le 5 nov. 2026) (en anglais)
- watchTowr Labs — analyse technique de la chaîne d’attaque (en anglais)
- The Hacker News — une chaîne de failles donne un accès root sans connexion (en anglais)
Photo : Sergei Starostin, Pexels (licence Pexels).