États-Unis et Amériques
La CISA ajoute six vulnérabilités activement exploitées à son catalogue KEV, dont Barracuda, Chromium et Outlook
La CISA a ajouté six failles activement exploitées à son catalogue des vulnérabilités exploitées connues le 10 novembre ; les deux entrées Barracuda ont un délai de trois jours, jusqu’au 13 novembre, pour les agences fédérales civiles américaines.
L’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté six vulnérabilités déjà exploitées à son catalogue des vulnérabilités exploitées connues (KEV), le mardi 10 novembre 2026. Deux concernent des produits de Barracuda Networks et ont un délai de correction de seulement trois jours, jusqu’au vendredi 13 novembre. Les quatre autres, touchant Chromium de Google, Outlook de Microsoft, Cisco BroadWorks et le Webtop Media Transcoder d’Openwave, doivent être corrigées d’ici le mardi 24 novembre.
Ce délai ne s’impose qu’aux agences fédérales civiles non militaires de la branche exécutive américaine (FCEB), en vertu de la directive BOD 26-04 sur la hiérarchisation des mises à jour de sécurité selon le risque. Pour les deux entrées Barracuda, le catalogue demande en outre un tri forensique, c’est-à-dire l’examen des appareils pour y rechercher des traces de compromission. Pour les six entrées, l’utilisation dans des attaques par rançongiciel est classée comme inconnue.
La paire Barracuda
Le cas le plus urgent est une paire de failles qui se combinent en une seule chaîne d’attaque. La CVE-2026-116606 concerne la passerelle de sécurité de messagerie Barracuda (ESG), l’appareil de protection des courriels. Il s’agit d’un contournement de l’authentification : un attaquant sans compte peut appeler la fonction d’importation de configuration, restaurer un fichier de sauvegarde spécialement conçu et modifier les paramètres globaux de l’appareil sans autorisation. Barracuda lui attribue la note de 9,3 sur 10 et précise que l’attaque ne nécessite pas d’authentification, mais qu’elle requiert un accès à l’interface de gestion de l’appareil.
La seconde, la CVE-2026-111560, est une injection de commandes au niveau du système d’exploitation via le champ du fuseau horaire. Un attaquant disposant de droits d’administrateur peut insérer des commandes qui s’exécutent avec les privilèges root lorsque la valeur malveillante est ensuite traitée. Elle est notée 8,6 et, outre l’ESG, touche cinq autres produits de l’entreprise : Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall et Web Security Gateway. Exploitées ensemble, elles donnent à l’attaquant un accès root à l’appareil.
Les deux failles ont été divulguées le 2 novembre, et Barracuda a publié un correctif distinct pour chaque produit. Le lundi 9 novembre, l’entreprise a ajouté à son annonce qu’elle avait identifié une activité d’exploitation touchant un petit nombre d’organisations. Elle recommande de restreindre l’accès aux interfaces de gestion aux réseaux internes de confiance.
Chromium, Outlook et le reste
Dans Chromium, la base des navigateurs Chrome, Edge et Opera, la CVE-2026-125350 est une faille de mémoire de type use-after-free dans le composant XML. Une page web spécialement conçue peut conduire à une exécution de code à l’intérieur du bac à sable du navigateur. Google indique avoir connaissance de l’utilisation d’un exploit dans des attaques réelles. Le correctif figure dans la version 157.0.8103.50 pour Linux et 157.0.8103.50/.51 pour Windows et Mac, publiée le lundi 9 novembre avec huit autres corrections.
Dans Outlook, la CVE-2026-124194 est une vulnérabilité d’usurpation notée 6,5, que Microsoft a signalée comme déjà exploitée dans son bulletin du 10 novembre. L’attaquant envoie un fichier de message spécialement conçu et convainc l’utilisateur de l’ouvrir. Outlook se connecte alors à un emplacement réseau contrôlé par l’attaquant, sans l’avertissement habituel concernant les contenus externes, avec un risque de fuite du hash NTLMv2 de l’utilisateur, grâce auquel l’attaquant peut s’authentifier en tant que cet utilisateur.
Les deux autres entrées ont un profil moins marqué. La CVE-2026-20320 dans Cisco BroadWorks, la plateforme de communication destinée aux opérateurs de téléphonie, est une faille XXE (entité externe XML) dans le service OCI-P : un attaquant distant non authentifié peut utiliser un message XML spécialement conçu pour lire des fichiers contenant une configuration sensible. Cisco l’a divulguée le 19 août et le correctif est fourni avec la version RI.2026.07. La CVE-2026-111793 dans le Webtop Media Transcoder d’Openwave permet à un utilisateur authentifié qui contourne l’environnement Webmail de traiter et de convertir des types de documents qui n’étaient pas prévus. Sa note est de 4,3 et le remède consiste à passer à la dernière version prise en charge de Media Server 2.0.
Ces six failles font suite aux ajouts de la veille concernant OpenSSH, GPUStack et FreeSWITCH. Ces dernières semaines, le catalogue a également intégré les failles d’Apple et de SonicWall SonicOS SSLVPN.
