Deux failles Barracuda, une fois enchaînées, permettent de contourner l'autorisation et de prendre le contrôle root d'un appareil.

Barracuda a publié les détails de deux vulnérabilités touchant certains de ses produits. Ces failles Barracuda sont particulièrement préoccupantes lorsqu’elles sont combinées. En effet, un attaquant pourrait contourner les contrôles d’autorisation. Ensuite, il pourrait obtenir un accès root sur un équipement vulnérable.

Autrement dit, un appareil de sécurité censé protéger un réseau pourrait devenir une porte d’entrée pour un acteur malveillant.

Ce que révèlent les failles Barracuda

L’éditeur décrit deux défauts distincts. Le premier est une vulnérabilité de contournement d’autorisation. Elle est exploitable avant toute authentification. Le second est une injection de commandes.

L’une de ces failles est suivie sous l’identifiant CVE-2026-116606. Elle reçoit un score CVSS de 9,3. Ce score la place donc dans la catégorie critique. Par ailleurs, les informations dont nous disposons ne précisent pas l’identifiant de la seconde faille. Elles n’indiquent pas non plus la liste exacte des produits ou des versions concernés.

Il faut donc se référer aux avis officiels de l’éditeur pour savoir si un équipement est touché. En effet, seule cette source permet de vérifier les versions vulnérables et les correctifs associés.

Comment enchaîner les deux vulnérabilités

Prises isolément, ces failles sont déjà sérieuses. Cependant, c’est leur combinaison qui fait toute la gravité de la situation.

Première étape : franchir la barrière d’authentification

Le contournement d’autorisation intervient avant l’authentification. Ainsi, l’attaquant n’a pas besoin d’identifiants valides. Il peut atteindre des fonctions normalement réservées aux administrateurs ou aux utilisateurs légitimes.

Ce type de défaut est très recherché. En effet, il supprime l’un des principaux obstacles à une attaque. Cet obstacle, c’est la connaissance d’un mot de passe ou le vol d’un compte.

Seconde étape : exécuter des commandes

Vient ensuite l’injection de commandes. Cette faille survient lorsqu’une application transmet des données non maîtrisées à l’interpréteur du système. L’attaquant peut alors faire exécuter ses propres instructions par l’appareil.

Associée au contournement d’autorisation, cette faille ouvre la voie à une prise de contrôle complète. Selon la description de l’éditeur, l’attaquant peut ainsi obtenir un accès root. Ce niveau de privilège est le plus élevé sur un système de type Unix. Il permet de modifier la configuration, de lire des données sensibles ou d’installer un code persistant.

Un risque élevé pour les équipements exposés

Les produits de sécurité réseau occupent une position stratégique. Ils voient souvent passer des courriels, du trafic web ou des flux d’administration. Par conséquent, leur compromission offre à l’attaquant une visibilité considérable.

De plus, ces équipements sont fréquemment accessibles depuis Internet. Une faille exploitable sans authentification est donc très attractive. Elle peut être recherchée automatiquement, à grande échelle, par des acteurs opportunistes.

Une prise de contrôle root peut avoir plusieurs conséquences :

• le vol de données ou d’identifiants stockés sur l’appareil ;
• l’espionnage du trafic qui transite par l’équipement ;
• la mise en place d’une porte dérobée durable ;
• le rebond vers d’autres systèmes du réseau interne.

Pour l’instant, les éléments fournis ne mentionnent aucune exploitation active. Toutefois, ce constat peut évoluer rapidement après la publication de détails techniques. Les équipes de sécurité ont donc intérêt à agir sans attendre.

Recommandations face aux failles Barracuda

Les administrateurs peuvent prendre plusieurs mesures simples. D’abord, ils doivent identifier les équipements Barracuda présents dans leur parc. Ensuite, ils doivent consulter l’avis de sécurité de l’éditeur pour confirmer s’ils sont concernés.

1. Appliquer les correctifs dès qu’ils sont disponibles, en suivant les instructions de Barracuda.
2. Limiter l’exposition des interfaces d’administration. Elles ne devraient pas être accessibles depuis Internet sans nécessité.
3. Restreindre les accès par filtrage d’adresses IP, VPN ou segmentation réseau.
4. Surveiller les journaux à la recherche de requêtes inhabituelles ou de commandes inattendues.
5. Vérifier l’intégrité des équipements si une compromission est soupçonnée, puis changer les secrets stockés.

Enfin, une revue régulière des inventaires reste essentielle. En effet, un appareil oublié ou mal référencé est souvent le maillon faible d’une infrastructure.

Ce qu’il faut retenir

• Barracuda a divulgué deux vulnérabilités : un contournement d’autorisation avant authentification et une injection de commandes.
• Enchaînées, elles peuvent donner un accès root à un appareil vulnérable.
• L’une d’elles porte l’identifiant CVE-2026-116606 et un score CVSS de 9,3.
• Les produits et versions touchés doivent être vérifiés dans les avis officiels de l’éditeur.
• Appliquer les correctifs et réduire l’exposition des interfaces d’administration reste la priorité.

Source : Barracuda Flaws Could Be Chained to Bypass Authorization and Gain Root Access