Barracuda : six gammes à vérifier, deux conditions d’attaque différentes

Partir du nom du produit, pas d’un numéro commun

L’avis AV26-1112, daté du 2 novembre, vise les versions antérieures aux repères ci-dessous. Ces numéros ne sont pas interchangeables : un ESG et un WAF n’ont pas la même branche. Faites vérifier aussi les correctifs effectivement appliqués par la personne qui maintient l’équipement.

Le tableau reprend les versions du Centre canadien. Il ne détaille pas les éventuels correctifs intermédiaires ni tous les identifiants de patch. Un numéro affiché seul ne remplace donc pas la confirmation du traitement de l’avis pour votre appareil.

Sans compte pour l’import ESG, administrateur pour les commandes

La fiche NVD de CVE-2026-116606 décrit, dans ESG avant 9.4.0.030, un contournement de l’authentification. Un attaquant distant sans compte peut appeler une fonction d’import de configuration et restaurer une archive de sauvegarde compatible, spécialement préparée. Le résultat documenté est une modification non autorisée de la configuration globale de l’équipement.

CVE-2026-111560 concerne certains équipements partageant du code Barracuda. La fiche décrit un administrateur authentifié injectant des commandes système dans le champ de fuseau horaire ; leur traitement ultérieur les exécute avec les privilèges root. Ces droits donnent un contrôle très élevé du système. Ne transformez pas cette seconde condition en attaque sans compte, et ne supposez pas que les deux CVE touchent toutes les gammes de la même façon.

Faire confirmer le correctif et l’accès d’administration

Relevez le modèle, la version, les patchs et le mode de maintenance, puis faites traiter l’avis par votre administrateur ou prestataire. Préparez une sauvegarde de configuration protégée et un accès de secours avant l’intervention. Vérifiez ensuite les fonctions utiles, notamment le flux de messagerie ou le trafic pris en charge. Si l’appliance est gérée pour vous, demandez une confirmation de son état plutôt que d’installer un fichier reçu par courriel.

Comme précaution d’exploitation, examinez qui peut joindre l’interface d’administration et retirez les accès inutiles en conservant le chemin de maintenance légitime. Cette réduction d’exposition n’est pas une preuve que les correctifs sont présents. Les sources lues ne permettent pas de déclarer votre appareil compromis ni d’affirmer une exploitation active de ces deux identifiants.

Cette lecture s’appuie sur l’avis canadien et les fiches NVD. Le bulletin direct de Barracuda n’a pas été lu, car son domaine n’est pas dans la liste autorisée de cette veille. Les identifiants de patch repris par la presse ne sont donc pas présentés comme vérifiés ici. SecuFocus n’a testé ni équipement ni attaque.

• Prévoir les mises à jour et une restauration utilisable↗