CVE-2026-116606 — Barracuda Email Security Gateway : contournement d’authentification et restauration de configuration
Threat Intel · Alerte de sécurité
L'alerte
CVE-2026-116606 — Barracuda Email Security Gateway (ESG)
Une faille de contournement d'authentification dans Barracuda Email Security Gateway versions antérieures à 9.4.0.030 permet à un attaquant distant non authentifié d'invoquer la fonction d'importation de configuration et de restaurer une archive de sauvegarde malveillante, modifiant sans autorisation la configuration globale de l'appliance.
- Éditeur
- Barracuda Networks
- Produit
- Barracuda Email Security Gateway (ESG)
- Publication
- 02/11/2026
- Gravité CVSS
- Critique
- Priorité
- Critique — exploitation connue
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
- Exploitation connue — CISA KEV
La faille
La fonction d'importation de configuration est accessible sans authentification via un chemin ou un canal alternatif, permettant à un attaquant distant non authentifié d'invoquer cette fonction.
Ce qu'elle permet à un attaquant
- Restaurer une archive de sauvegarde compatible conçue à cet effet et modifier sans autorisation la configuration globale de l'appliance.
Qui est concerné
Barracuda Email Security Gateway (ESG) versions antérieures à 9.4.0.030 sont affectées ; les versions 9.4.0.030 et ultérieures ne sont pas touchées.
| Produit | Versions |
|---|---|
| Barracuda Networks Barracuda Email Security Gateway (ESG) | < 9.4.0.030 |
État de l'exploitation
Cette vulnérabilité a été ajoutée au catalogue CISA KEV (Known Exploited Vulnerabilities) le 10 novembre 2026, confirmant une exploitation en conditions réelles.
Chronologie
- Publication de la vulnérabilité
- Ajout au catalogue CISA KEV
- Échéance fixée par la CISA aux agences fédérales américaines
Que faire
- Appliquez les mesures préconisées par le fournisseur, disponibles à https://trust.barracuda.com/security/pre-authentication-authorization-bypass-command-injection.
Termes utiles
- KEV
- Catalogue CISA des vulnérabilités connues comme exploitées en conditions réelles par des attaquants.
- Contournement d'authentification
- Faille permettant d'accéder à des fonctions protégées sans fournir les identifiants ou justificatifs requis.