# CVE-2026-116606 — Barracuda Email Security Gateway : contournement d’authentification et restauration de configuration

- Link: https://dpioch.aristeecampus.org/veille/veille-v2-29c2723b322a55977eb918b4/
- Published: 2026-11-11T22:16:52+01:00
- Author: Admin

Threat Intel · Alerte de sécurité

## L'alerte

CVE-2026-116606 — Barracuda Email Security Gateway (ESG)

Une faille de contournement d'authentification dans Barracuda Email Security Gateway
versions antérieures à 9.4.0.030 permet à un attaquant distant non authentifié d'invoquer
la fonction d'importation de configuration et de restaurer une archive de sauvegarde
malveillante, modifiant sans autorisation la configuration globale de l'appliance.

 Éditeur Barracuda Networks

 Produit Barracuda Email Security Gateway (ESG)

 Publication 02/11/2026

 Gravité CVSS Critique

 Priorité Critique — exploitation connue

9,3/ 10 — CVSS 4.0 · Critique

`CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N`

 * Exploitation connue — CISA KEV

## La faille

La fonction d'importation de configuration est accessible sans authentification 
via un chemin ou un canal alternatif, permettant à un attaquant distant non authentifié
d'invoquer cette fonction.

## Ce qu'elle permet à un attaquant

 * Restaurer une archive de sauvegarde compatible conçue à cet effet et modifier
   sans autorisation la configuration globale de l'appliance.

**9,3**score CVSS 4.0

**1**produit concerné

**8 j**entre la publication et l’inscription au KEV

**13/11/2026**échéance CISA (agences fédérales américaines)

## Qui est concerné

Barracuda Email Security Gateway (ESG) versions antérieures à 9.4.0.030 sont affectées;
les versions 9.4.0.030 et ultérieures ne sont pas touchées.

  |  Produit |  Versions |  
   |  Barracuda Networks Barracuda Email Security Gateway (ESG) |  < 9.4.0.030 |

## État de l'exploitation

Cette vulnérabilité a été ajoutée au catalogue CISA KEV (Known Exploited Vulnerabilities)
le 10 novembre 2026, confirmant une exploitation en conditions réelles.

## Chronologie

 1. 02/11/2026Publication de la vulnérabilité
 2. 10/11/2026Ajout au catalogue CISA KEV
 3. 13/11/2026Échéance fixée par la CISA aux agences fédérales américaines

## Que faire

 1. Appliquez les mesures préconisées par le fournisseur, disponibles à https://trust.
    barracuda.com/security/pre-authentication-authorization-bypass-command-injection.

Termes utiles

  KEV Catalogue CISA des vulnérabilités connues comme exploitées en conditions réelles
par des attaquants. Contournement d'authentification Faille permettant d'accéder
à des fonctions protégées sans fournir les identifiants ou justificatifs requis.

## Sources

![Sceau de la CISA](https://dpioch.aristeecampus.org/wp-content/uploads/2026/10/
cisa-5a454c90bac7.png)

Présence et version locales non établies : vérifier l'inventaire avant de conclure
à une exposition.

 * [Catalogue CISA KEV](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-116606)
 * [Enregistrement CVE officiel (CNA Mandiant)](https://www.cve.org/CVERecord?id=CVE-2026-116606)