RCE pré-authentifiée sur Barracuda ESG via chaîne de vulnérabilités CVE-2026-116606 / CVE-2026-111560

Tue, 10 Nov 2026 00:00:00 +0100

🔍 Contexte

Publié le 5 novembre 2026 par watchTowr Labs, cet article présente une analyse technique approfondie de deux vulnérabilités affectant le Barracuda Email Security Gateway (ESG), produit de sécurité email largement déployé en entreprise. L’analyse porte sur les versions 9.4.0.027 (vulnérable) et 9.4.0.029 (patchée).

🐛 Vulnérabilités identifiées

Deux CVE sont au cœur de l’analyse :

CVE-2026-116606 : Contournement d’autorisation pré-authentification (CVSS 9.3 critique) — affecte Barracuda ESG 9.4.0.029
CVE-2026-111560 : Injection de commandes OS (CVSS 8.6 élevé) — affecte ESG, Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall, Web Security Gateway

Chaînées, ces deux vulnérabilités permettent une exécution de commandes à distance en tant que root sans authentification préalable.

CVE-2026-111560 on CyberVeille

RCE pré-authentifiée sur Barracuda ESG via chaîne de vulnérabilités CVE-2026-116606 / CVE-2026-111560

🔍 Contexte

🐛 Vulnérabilités identifiées