RCE pré-authentifiée sur Barracuda ESG via chaîne de vulnérabilités CVE-2026-116606 / CVE-2026-111560
🔍 Contexte Publié le 5 novembre 2026 par watchTowr Labs, cet article présente une analyse technique approfondie de deux vulnérabilités affectant le Barracuda Email Security Gateway (ESG), produit de sécurité email largement déployé en entreprise. L’analyse porte sur les versions 9.4.0.027 (vulnérable) et 9.4.0.029 (patchée). 🐛 Vulnérabilités identifiées Deux CVE sont au cœur de l’analyse : CVE-2026-116606 : Contournement d’autorisation pré-authentification (CVSS 9.3 critique) — affecte Barracuda ESG 9.4.0.029 CVE-2026-111560 : Injection de commandes OS (CVSS 8.6 élevé) — affecte ESG, Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall, Web Security Gateway Chaînées, ces deux vulnérabilités permettent une exécution de commandes à distance en tant que root sans authentification préalable. ...