# CVE-2026-111560 — Barracuda : injection de commandes OS via champ timezone authentifié

- Link: https://dpioch.aristeecampus.org/veille/veille-v2-ce9074ca550ae161b931009a/
- Published: 2026-11-11T19:05:12+01:00
- Author: Admin

Threat Intel · Alerte de sécurité

## L'alerte

CVE-2026-111560 — Barracuda Email Security Gateway (ESG), Load Balancer Application
Delivery Controller (ADC), Web Application Firewall (WAF), Web Security Gateway (
WSG), Message Archiver (BMA), WAF Control Center (WCC)

Les appliances Barracuda (ESG, ADC, WAF, WSG, BMA, WCC) contiennent une faille d'injection
de commandes OS dans le traitement du champ timezone. Un administrateur authentifié
peut injecter des commandes exécutées avec les privilèges root. Inscrite au catalogue
KEV avec exploitation avérée.

 Éditeur Barracuda Networks

 Produit Barracuda Email Security Gateway (ESG), Load Balancer Application Delivery
Controller (ADC), Web Application Firewall (WAF), Web Security Gateway (WSG), Message
Archiver (BMA), WAF Control Center (WCC)

 Publication 02/11/2026

 Gravité CVSS Élevée

 Priorité Critique — exploitation connue

8,6/ 10 — CVSS 4.0 · Élevée

`CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N`

 * Exploitation connue — CISA KEV

## La faille

Le champ de configuration timezone ne neutralise pas correctement les métacaractères
de shell. Un administrateur authentifié peut injecter des commandes OS qui s'exécutent
avec les privilèges root lors du traitement de la valeur timezone manipulée.

## Ce qu'elle permet à un attaquant

 * Exécution de commandes système avec les privilèges root sur l'appliance affectée,
   offrant un contrôle complet de l'infrastructure.

**8,6**score CVSS 4.0

**6**produits concernés

**8 j**entre la publication et l’inscription au KEV

**13/11/2026**échéance CISA (agences fédérales américaines)

## Qui est concerné

Barracuda Email Security Gateway (ESG) versions 0 à 9.4.0.27, Barracuda Load Balancer
Application Delivery Controller (ADC) versions 0 à 6.4.0, Barracuda Web Application
Firewall (WAF) versions 0 à 11.0.1, Barracuda Web Security Gateway (WSG) versions
0 à 16.1.100.100, Barracuda Message Archiver (BMA) versions 0 à 5.5.4.0, Barracuda
WAF Control Center (WCC) versions 0 à 2.2.1.

  |  Produit |  Versions |  
   |  Barracuda Networks Barracuda Email Security Gateway (ESG) |  0 → ≤ 9.4.0.27 |  
 |  Barracuda Networks Barracuda Load Balancer Application Delivery Controller (ADC) |  0 → ≤ 6.4.0 |  
 |  Barracuda Networks Barracuda Web Application Firewall (WAF) |  0 → ≤ 11.0.1 |  
 |  Barracuda Networks Barracuda Web Security Gateway (WSG) |  0 → ≤ 16.1.100.100 |  
 |  Barracuda Networks Barracuda Message Archiver (BMA) |  0 → ≤ 5.5.4.0 |  
 |  Barracuda Networks Barracuda WAF Control Center (WCC) |  0 → ≤ 2.2.1 |

## État de l'exploitation

La faille est inscrite au catalogue KEV de CISA depuis le 10 novembre 2026 avec 
exploitation avérée en environnement réel.

## Chronologie

 1. 02/11/2026Publication de la vulnérabilité
 2. 10/11/2026Ajout au catalogue CISA KEV
 3. 13/11/2026Échéance fixée par la CISA aux agences fédérales américaines

## Que faire

 1. Appliquer les atténuations conformément aux instructions du fournisseur en respectant
    la directive BOD 26-04 de CISA pour la priorisation des mises à jour de sécurité
    selon le risque.
 2. Pour les services cloud ou en cas d'indisponibilité d'atténuation, évaluer l'arrêt
    du produit conformément à la directive BOD 26-04.

Termes utiles

  KEV Known Exploited Vulnerabilities — catalogue de CISA recensant les failles 
activement exploitées en conditions réelles, mis à jour régulièrement. BOD 26-04
Directive CISA imposant aux agences fédérales américaines de prioriser les correctifs
de sécurité selon le risque et l'exposition internet. Injection de commandes OS 
Insertion de séquences de commandes système via des entrées utilisateur non validées,
permettant l'exécution de code arbitraire avec les privilèges du processus hôte.

## Sources

![Sceau de la CISA](https://dpioch.aristeecampus.org/wp-content/uploads/2026/10/
cisa-5a454c90bac7.png)

Présence et version locales non établies : vérifier l'inventaire avant de conclure
à une exposition.

 * [Catalogue CISA KEV](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?search_api_fulltext=CVE-2026-111560)
 * [Enregistrement CVE officiel (CNA Mandiant)](https://www.cve.org/CVERecord?id=CVE-2026-111560)