Barracuda Networks exhorte ses clients à installer des correctifs de sécurité pour deux vulnérabilités qui pourraient permettre à des attaquants d’exécuter des commandes avec des privilèges root sur les appareils concernés. L’entreprise indique que leur exploitation nécessite l’accès à l’interface d’administration d’un appareil ciblé.
CVE-2026-116606 est une faille critique d’authentification dans l’Email Security Gateway (ESG), qui pourrait permettre à un attaquant de modifier la configuration globale d’un appareil. La deuxième vulnérabilité, CVE-2026-111560, pourrait permettre à une personne disposant de privilèges administratifs d’injecter des commandes du système d’exploitation exécutées en tant que root. Barracuda indique que ces failles pourraient être combinées afin de contourner les contrôles d’autorisation et d’obtenir un accès root.
Les vulnérabilités affectent plusieurs produits Barracuda. Elles concernent toutes deux l’ESG, tandis que CVE-2026-111560 affecte également les produits Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall et Web Security Gateway.
Barracuda a publié des correctifs pour les systèmes concernés. Les correctifs de l’ESG sont BNSF-40425 pour la version 9.4.017 et les versions ultérieures, et BNSF-40430 pour les versions antérieures à 9.4.017. Les autres correctifs sont BNADC-16586 pour Load Balancer ADC et Web Application Firewall, BNMA-32468 pour Message Archiver, BNWF-60060 pour WAF Control Center et BNYF-24789 pour Web Security Gateway.
L’entreprise conseille à ses clients de consulter ses recommandations de remédiation, d’installer la dernière version du micrologiciel et d’appliquer tous les correctifs de sécurité disponibles. Elle recommande également d’utiliser des contrôles d’accès réseau afin de limiter l’accès aux interfaces d’administration aux réseaux internes de confiance.
Sources: BleepingComputer.