Barracuda a divulgué deux vulnérabilités affectant ses produits qui pourraient être exploitées en chaîne pour contourner les contrôles d’autorisation et obtenir un accès root à un appareil vulnérable. Il s’agit d’un contournement de l’autorisation avant authentification, référencé CVE-2026-116606 et noté 9,3, et d’une vulnérabilité d’injection de commandes, CVE-2026-111560, notée 8,6.
CVE-2026-116606 affecte l’Email Security Gateway. CVE-2026-111560 affecte l’Email Security Gateway, le Load Balancer Application Delivery Controller, le Message Archiver, le WAF Control Center, le Web Application Firewall et le Web Security Gateway.
Barracuda a indiqué qu’une exploitation réussie nécessite l’accès à l’interface d’administration d’un produit concerné. Utilisées conjointement, les vulnérabilités pourraient permettre à un attaquant de contourner les contrôles d’autorisation et d’obtenir un accès root à l’appareil.
L’entreprise a indiqué que les appareils dont les interfaces d’administration ne sont pas exposées à Internet sont moins vulnérables à cette voie d’attaque. Elle recommande de limiter l’accès administratif aux réseaux internes de confiance et d’utiliser des contrôles d’accès réseau afin de réduire l’exposition.
Barracuda a également conseillé à ses clients de vérifier que leurs systèmes utilisent la dernière version du micrologiciel et ont reçu tous les correctifs de sécurité. Les appareils qui ont plusieurs versions de micrologiciel de retard peuvent nécessiter plusieurs mises à jour.
Sources: The Hacker News.