Les appliances de sécurité de Barracuda ont leur propre problème de sécurité

Barracuda, qui propose une grande variété de dispositifs de cybersécurité, a lui-même été piqué par un bug.

La société a divulgué deux vulnérabilités critiques et de haute gravité qui, si elles étaient liées ensemble, pourraient permettre aux acteurs malveillants de contourner les contrôles d’autorisation et d’obtenir un accès root aux appareils.

Il s’agit d’une vulnérabilité de contournement d’autorisation de pré-authentification, suivie comme CVE-2026-116606 (évaluée comme une gravité critique de 9,3 sur le système commun de notation des vulnérabilités), et d’une vulnérabilité d’injection de commandes suivie comme CVE-2026-111560 (évaluée comme une gravité élevée de 8,6 sur CVSS). Les attaquants doivent avoir accès à l’interface d’administration d’un appareil sensible pour réussir à exploiter ces vulnérabilités.

Barracuda a publié des correctifs de sécurité qu’il conseille à ses clients d’appliquer immédiatement.

Les vulnérabilités affectent de nombreux produits Barracuda populaires

L’accès root sur une passerelle de messagerie place l’attaquant à l’endroit où passe chaque message entrant et sortant, a déclaré Frank Dickson de Dickson Research. Il peut également exposer les informations d’identification et les connexions utilisées par la passerelle pour atteindre le serveur de messagerie et l’annuaire. « Ce sont les clés du royaume, si vous voulez », a-t-il déclaré.

CVE-2026-116606 et CVE-2026-111560 impactent tous deux la passerelle de sécurité de messagerie (ESG) de Barracuda, mais CVE-2026-111560 affecte également sa passerelle de sécurité Web (WSG), son pare-feu d’application Web (WAF), son centre de contrôle WAF (WCC), son équilibreur de charge Application Delivery Controller (ADC) et son archiveur de messages (BMA), a indiqué la société.

Les clients utilisant ces produits doivent vérifier que leurs systèmes exécutent les dernières versions du micrologiciel et ont reçu tous les correctifs de sécurité, conseille-t-il. L’appareil affichera la dernière version du micrologiciel disponible ; Si le micrologiciel d’un appareil est obsolète à plusieurs reprises, les utilisateurs devront peut-être effectuer plusieurs mises à jour.

Les entreprises dont les interfaces d’administration des appareils ne sont pas accessibles publiquement depuis le Web sont moins exposées, a déclaré Barracuda ; la société a conseillé de restreindre l’accès à ces interfaces aux réseaux internes de confiance et d’appliquer des contrôles d’accès au réseau appropriés pour limiter l’exposition.

« La plus grande préoccupation est de savoir comment ces deux vulnérabilités pourraient s’enchaîner », a déclaré Jon Nelson, directeur consultatif principal chez Infotech, notant qu’un attaquant capable de contourner l’authentification puis d’exploiter l’injection de commandes pourrait passer de l’accès à une appliance exposée à l’exécution de commandes sur celle-ci. « Évaluer chaque vulnérabilité isolément peut minimiser le risque », a-t-il déclaré.

Dickson a ajouté que les responsables de la sécurité devraient lire attentivement l’avis, car il appelle une faille « pré-authentification », puis énumère « Authentification requise : oui, accès administratif ».

« Les deux ne peuvent pas être vrais au sens habituel du terme », a-t-il souligné. L’accès probable ici signifie pouvoir accéder à l’interface d’administration via le réseau, sans mot de passe.

« Si votre interface d’administration fait face à Internet, cette condition est déjà remplie », a déclaré Dickson.

L’avis qualifie également un indice de gravité de 9,3 de « élevé », alors qu’un indice de gravité de 9,0 et plus est en réalité « critique » sur l’échelle standard, a-t-il souligné. « Ce sont de petites choses, mais les étiquettes génèrent des files d’attente pour les correctifs », a-t-il noté. De plus, l’avis ne précise pas si ces failles sont actuellement exploitées, mais il ne dit pas non plus qu’elles ne le sont pas.

Comment les entreprises doivent réagir

« Supprimez l’interface d’administration d’Internet », a souligné Dickson, notant qu’en tant que consultant en cybersécurité, il donne ce conseil au moins quelques fois par semaine. « Les interfaces de gestion sur les appareils de périphérie sont continuellement une source de vulnérabilité. »

Une fois que les équipes limitent l’accès des administrateurs à un réseau interne de confiance ou à un réseau de gestion dédié, conseille Dickson, elles doivent alors « vérifier le correctif plutôt que de supposer qu’il a été correctement installé ». À partir de là, a-t-il déclaré, analysez les visiteurs non autorisés en examinant les journaux d’administration, recherchez les comptes inconnus et recherchez les connexions sortantes inattendues depuis l’appareil.

L’histoire compte ici, a-t-il ajouté. En 2023, après un zero-day sur cette même passerelle de sécurité de messagerie (ESG), Barracuda a demandé aux clients dont les appareils étaient compromis de les remplacer purement et simplement plutôt que de se fier au correctif. Comme il l’a dit : « Un patch répare la serrure. Il ne vous dit pas qui possède déjà une clé. »

Nelson a convenu que les entreprises devraient examiner attentivement qui peut accéder à leurs interfaces administratives. Ils devraient en outre placer l’accès derrière des contrôles supplémentaires tels qu’une couche d’accès zéro confiance correctement configurée.

« Exposer ces interfaces directement à Internet a toujours été une mauvaise idée », a-t-il déclaré. « À mesure que l’IA facilite la détection des faiblesses et l’enchaînement des attaques, cette exposition devient de plus en plus difficile à justifier. » L’IA étend également la recherche de failles logicielles pour inclure des problèmes tels que les faiblesses de la logique métier où une application peut être amenée à contourner les contrôles prévus. Les contournements d’authentification et d’autorisation méritent une attention particulière dans ce contexte, a déclaré Nelson.

Alors que de plus en plus de fournisseurs utilisent l’IA avancée pour examiner leur code, les RSSI devraient se préparer à davantage de divulgations de failles et à des délais potentiellement plus courts pour y répondre, a-t-il noté. « Cela signifie identifier les appareils exposés, restreindre l’accès et préparer un plan d’intervention avant l’arrivée du prochain jour zéro », a-t-il déclaré.

Comprendre ce que chaque appareil expose

Les appareils de sécurité créent de plus en plus de vulnérabilités dans les réseaux d’entreprise, ce qui modifie le débat sur la cybersécurité. Les entreprises comptent sur eux pour protéger leur réseau, mais en fin de compte, ce sont des systèmes logiciels dotés de leurs propres vulnérabilités.

« Ils se placent exactement là où les attaquants veulent être », a noté Dickson.

Les pare-feu, les VPN et les passerelles de messagerie font face à Internet dès leur conception ; c’est leur travail, a-t-il dit. Ils voient le trafic sensible et détiennent des informations d’identification. La plupart ne peuvent pas exécuter les outils de détection des points finaux qui protègent les ordinateurs portables et les serveurs, de sorte qu’une compromission peut rester indétectable pendant une longue période, et chaque client exécute le même micrologiciel, de sorte qu’un exploit fonctionnel peut s’étendre à des milliers d’organisations.

« La discussion se déplace de la boîte à acheter à ce que la boîte elle-même expose », a déclaré Dickson. « Chaque achat d’appliance est une décision de faire confiance au code d’un fournisseur au point le plus exposé du réseau. » Il mérite le même examen minutieux que n’importe quel autre dans une entreprise, a-t-il souligné.

Les acheteurs doivent poser quatre questions à leurs fournisseurs, a-t-il conseillé : l’interface d’administration est-elle exposée à Internet par défaut ; à quelle vitesse les correctifs sont-ils expédiés ; sont-ils appliqués automatiquement ? et quelle journalisation les utilisateurs peuvent-ils voir ?

« Les dispositifs de sécurité ne protègent pas seulement le périmètre », a souligné Dickson. « C’est le périmètre, et il doit être traité comme le système le plus attaqué qu’une organisation possède, car c’est le cas. »