Barracuda : deux failles critiques enchaînées pour prendre le contrôle total des appliances

Barracuda Networks a dévoilé deux vulnérabilités affectant ses appliances de sécurité qui, combinées, permettent à un attaquant non authentifié de contourner les contrôles d’autorisation et d’obtenir un accès root sur l’équipement. La plus sévère, identifiée CVE-2026-116606, atteint un score CVSS de 9,3 sur 10, la plaçant au niveau critique.

La faille principale est un contournement d’autorisation pré-authentification. Elle permet à un acteur distant, sans aucun identifiant valide, d’accéder à des fonctions réservées aux administrateurs. La seconde, une injection de commande, transforme cet accès en exécution de code arbitraire avec les privilèges les plus élevés du système. L’enchaînement des deux offre un chemin complet : de l’extérieur vers le cœur de la machine, sans mot de passe, sans interaction utilisateur.

Les appliances Barracuda, pare-feu, filtres web, passerelles email, équilibreurs de charge, sont déployées en bordure de réseau, souvent directement accessibles depuis Internet pour leur interface d’administration. Cette position en fait des cibles de choix. Un compromis donne à l’attaquant une visibilité sur le trafic interne, la capacité de modifier les règles de filtrage, d’intercepter les communications, ou d’utiliser l’équipement comme pivot vers le reste de l’infrastructure.

Le bulletin de sécurité de l’éditeur indique que les versions antérieures aux correctifs publiés début novembre 2026 sont concernées. Barracuda n’a pas détaillé le nombre d’équipements potentiellement vulnérables, mais la base installée se compte en centaines de milliers à travers le monde, chez des entreprises de toutes tailles, des administrations, des fournisseurs de services managés.

Le scénario d’attaque suit un pattern bien connu des chercheurs en sécurité. Première étape : l’attaquant envoie une requête spécialement conçue à l’interface de gestion, exploitant le contournement d’autorisation (CVE-2026-116606). Cette requête lui ouvre l’accès à des endpoints d’administration normalement protégés.

Deuxième étape : via ces endpoints, l’attaquant injecte des commandes système (deuxième CVE, injection de commande). Comme les processus d’administration tournent souvent avec des privilèges élevés, le code s’exécute en root. L’attaquant dispose alors d’un shell complet sur l’appliance.

Ce type d’enchaînement, authentification bypass + remote code execution, est le Saint Graal des vulnérabilités d’équipements réseau. Il ne nécessite ni phishing, ni mot de passe volé, ni accès physique. Une simple connexion réseau vers le port d’administration suffit.

Barracuda a publié des mises à jour pour l’ensemble des gammes concernées. L’éditeur exhorte ses clients à appliquer les correctifs « immédiatement » et à vérifier l’intégrité de leurs systèmes, notamment en recherchant tout compte administrateur inconnu, toute règle de pare-feu modifiée, tout script ou binaire inattendu sur le système de fichiers.

Pour les organisations qui ne peuvent pas patcher dans l’instant, maintenance planifiée, validation en pré-production, dépendances métier -, la recommandation est de restreindre l’accès à l’interface d’administration aux seules adresses IP de confiance, idéalement via VPN ou bastion, et de surveiller les journaux de connexion pour toute tentative anormale.

Cette double faille illustre un paradoxe persistant : les équipements conçus pour protéger le réseau deviennent eux-mêmes des cibles critiques quand leur propre code présente des failles. Leur position privilégiée, leur exposition fréquente, et la complexité de leurs logiciels embarqués en font des proies de choix pour les acteurs étatiques comme pour les groupes criminels.

Les dernières années ont vu une série de compromissions majeures d’appliances réseau : Citrix ADC (CVE-2019-19781), Pulse Connect Secure (CVE-2021-22893), FortiGate (CVE-2022-40684), Ivanti Connect Secure (CVE-2023-46805 / CVE-2024-21887). À chaque fois, le pattern se répète : une faille d’authentification ou de validation d’entrée, une exécution de code, un compromis total.

Pour les équipes de sécurité, le message est clair. L’inventaire des appliances exposées doit être à jour. La gestion des correctifs ne peut pas attendre la prochaine fenêtre de maintenance mensuelle quand le CVSS dépasse 9. La segmentation du réseau d’administration n’est pas une option, c’est une condition de survie. Et la surveillance des comportements anormaux sur ces équipements, connexions inhabituelles, modifications de configuration, processus suspects, doit faire partie du monitoring quotidien, pas d’une revue trimestrielle.

Sources : The Hacker News, BleepingComputer