Компания Barracuda опубликовала 2 ноября 2026 года бюллетень безопасности, описывающий две уязвимости в своих продуктах: обход авторизации до аутентификации (CVE-2026-116606, CVSS 9.3) и инъекцию команд (CVE-2026-111560, CVSS 8.6). При цепочной эксплуатации атакующий, имеющий сетевой доступ к административному интерфейсу устройства, способен обойти контроль авторизации и получить root-доступ. Полная цепочка затрагивает исключительно Barracuda Email Security Gateway — единственный продукт, подверженный обеим уязвимостям одновременно. Патчи уже доступны, а ключевой мерой снижения риска является ограничение доступа к административному интерфейсу.
Технические детали уязвимостей
CVE-2026-116606 — уязвимость обхода авторизации до аутентификации, затрагивающая только Barracuda Email Security Gateway. Согласно раскрытию Mandiant, уязвимость классифицирована как CWE-288 (обход аутентификации через альтернативный путь или канал). По данным Mandiant, неаутентифицированный удалённый атакующий может вызвать функцию импорта конфигурации и восстановить специально подготовленный архив резервной копии, что приводит к несанкционированному изменению глобальной конфигурации устройства. Аутентификация не требуется — достаточно сетевой доступности административного интерфейса.
CVE-2026-111560 — уязвимость инъекции команд, которая затрагивает значительно более широкий спектр продуктов Barracuda:
- Email Security Gateway (ESG)
- Load Balancer Application Delivery Controller (ADC)
- Message Archiver (BMA)
- WAF Control Center (WCC)
- Web Application Firewall (WAF)
- Web Security Gateway (WSG)
Для эксплуатации CVE-2026-111560 требуется административный доступ к устройству. Именно поэтому цепочка из двух уязвимостей критически опасна: CVE-2026-116606 позволяет обойти аутентификацию на ESG, после чего CVE-2026-111560 используется для выполнения произвольных команд с привилегиями root. Для остальных пяти продуктов CVE-2026-111560 эксплуатируется только при наличии легитимных административных учётных данных, что существенно снижает практический риск.
Расхождение в данных о затронутых версиях
Важная деталь, требующая внимания администраторов: данные о границах затронутых версий ESG расходятся между источниками. Barracuda в своей таблице патчей использует версию 9.4.017 как точку разделения для маршрутизации обновлений — системы на версии 9.4.017 и выше получают патч BNSF-40425, а системы ниже 9.4.017 — патч BNSF-40430. Mandiant же указывает, что CVE-2026-116606 затрагивает версии ESG ранее 9.4.0.030. Доступные источники не позволяют однозначно согласовать эти два пороговых значения. Администраторам следует ориентироваться на рекомендации Barracuda по конкретному патчу для своей версии прошивки, а не полагаться на одну числовую границу.
Статус эксплуатации
На момент публикации ни одна из уязвимостей не внесена в каталог CISA Known Exploited Vulnerabilities. Рассмотренные источники не содержат свидетельств активной эксплуатации, атрибуции к конкретным группировкам, данных о жертвах или индикаторов компрометации.
Вместе с тем в публичном репозитории watchTowr размещён артефакт для проверки уязвимости цепочки на ESG, включающий демонстрацию выполнения команды (создание файла /tmp/test). Наличие публичного инструмента валидации означает, что техническая возможность воспроизведения атаки доступна широкому кругу лиц, что повышает вероятность появления реальных атак в ближайшей перспективе. Однако само по себе наличие такого инструмента не является доказательством эксплуатации в реальных условиях.
Оценка воздействия
Наибольшему риску подвержены организации, чьи устройства Barracuda ESG имеют административный интерфейс, доступный из интернета. Для таких систем цепочка CVE-2026-116606 → CVE-2026-111560 представляет прямой путь к полной компрометации устройства без необходимости аутентификации. Учитывая, что ESG обрабатывает весь входящий и исходящий почтовый трафик организации, компрометация устройства может привести к перехвату корпоративной переписки, внедрению вредоносного содержимого в почтовый поток и использованию устройства как плацдарма для дальнейшего проникновения в сеть.
Для остальных пяти затронутых продуктов (ADC, BMA, WCC, WAF, WSG) риск ограничен сценарием инъекции команд при наличии административного доступа — серьёзная, но менее вероятная угроза при соблюдении базовых практик управления доступом.
Рекомендации
Приоритет первого уровня — Barracuda ESG с доступным из интернета административным интерфейсом:
- Немедленно ограничьте доступ к административному интерфейсу ESG, разрешив подключения только из доверенных внутренних сетей.
- Проверьте текущую версию прошивки и определите применимый патч: BNSF-40425 для систем на версии 9.4.017 и выше, BNSF-40430 для систем ниже 9.4.017.
- Примените патч вручную, если автоматическое обновление не завершилось. Barracuda отмечает, что при значительном отставании версии прошивки может потребоваться несколько последовательных обновлений.
- Включите автоматическое получение патчей, если эта функция была отключена.
Для остальных затронутых продуктов — примените соответствующие патчи: BNADC-16586 для ADC и WAF, BNMA-32468 для Message Archiver, BNWF-60060 для WAF Control Center, BNYF-24789 для Web Security Gateway.
Организациям, эксплуатирующим Barracuda ESG, следует рассматривать эту пару уязвимостей как требующую немедленного реагирования: сочетание оценки CVSS 9.3 для обхода аутентификации, наличия публичного инструмента валидации и критической роли почтового шлюза в инфраструктуре не оставляет пространства для откладывания обновления. Первоочередное действие — убедиться, что административный интерфейс ESG недоступен из интернета, и применить соответствующий патч от Barracuda.
