Компанія Barracuda опублікувала 2 листопада 2026 року бюлетень безпеки, у якому описано дві вразливості у її продуктах: обхід авторизації до автентифікації (CVE-2026-116606, CVSS 9.3) та ін’єкція команд (CVE-2026-111560, CVSS 8.6). За ланцюгової експлуатації зловмисник, який має мережевий доступ до адміністративного інтерфейсу пристрою, здатен обійти контроль авторизації та отримати root-доступ. Повний ланцюжок стосується виключно Barracuda Email Security Gateway — єдиного продукту, вразливого до обох вразливостей одночасно. Патчі вже доступні, а ключовим заходом зі зниження ризику є обмеження доступу до адміністративного інтерфейсу.
Технічні деталі вразливостей
CVE-2026-116606 — вразливість обходу авторизації до автентифікації, яка зачіпає лише Barracuda Email Security Gateway. Згідно з розкриттям Mandiant, вразливість кваліфікована як CWE-288 (обхід автентифікації через альтернативний шлях або канал). За даними Mandiant, неавтентифікований віддалений зловмисник може викликати функцію імпорту конфігурації та відновити спеціально підготовлений архів резервної копії, що призводить до несанкціонованої зміни глобальної конфігурації пристрою. Автентифікація не потрібна — достатньо мережевої доступності адміністративного інтерфейсу.
CVE-2026-111560 — вразливість ін’єкції команд, яка зачіпає значно ширший спектр продуктів Barracuda:
- Email Security Gateway (ESG)
- Load Balancer Application Delivery Controller (ADC)
- Message Archiver (BMA)
- WAF Control Center (WCC)
- Web Application Firewall (WAF)
- Web Security Gateway (WSG)
Для експлуатації CVE-2026-111560 потрібен адміністративний доступ до пристрою. Саме тому ланцюжок із двох вразливостей є критично небезпечним: CVE-2026-116606 дає змогу обійти автентифікацію на ESG, після чого CVE-2026-111560 використовується для виконання довільних команд із привілеями root. Для решти п’яти продуктів CVE-2026-111560 експлуатується лише за наявності легітимних адміністративних облікових даних, що суттєво зменшує практичний ризик.
Розбіжності в даних щодо вразливих версій
Важлива деталь, що потребує уваги адміністраторів: дані щодо меж вразливих версій ESG різняться між джерелами. Barracuda у своїй таблиці патчів використовує версію 9.4.017 як точку поділу для маршрутизації оновлень — системи з версією 9.4.017 і вище отримують патч BNSF-40425, а системи нижче 9.4.017 — патч BNSF-40430. Mandiant же зазначає, що CVE-2026-116606 зачіпає версії ESG раніше 9.4.0.030. Доступні джерела не дають змоги однозначно узгодити ці два порогові значення. Адміністраторам слід орієнтуватися на рекомендації Barracuda щодо конкретного патча для своєї версії прошивки, а не покладатися на одну числову межу.
Статус експлуатації
Станом на час публікації жодна з вразливостей не внесена до каталогу CISA Known Exploited Vulnerabilities. Розглянуті джерела не містять свідчень активної експлуатації, атрибуції до конкретних угруповань, даних про жертв чи індикаторів компрометації.
Водночас у публічному репозиторії watchTowr розміщено артефакт для перевірки вразливості ланцюжка на ESG, що включає демонстрацію виконання команди (створення файлу /tmp/test). Наявність публічного інструменту валідації означає, що технічна можливість відтворення атаки доступна широкому колу осіб, що підвищує ймовірність появи реальних атак у найближчій перспективі. Втім, сама по собі наявність такого інструменту не є доказом експлуатації в реальних умовах.
Оцінка впливу
Найбільшому ризику піддаються організації, чиї пристрої Barracuda ESG мають адміністративний інтерфейс, доступний з інтернету. Для таких систем ланцюжок CVE-2026-116606 → CVE-2026-111560 становить прямий шлях до повної компрометації пристрою без необхідності автентифікації. З огляду на те, що ESG обробляє весь вхідний і вихідний поштовий трафік організації, компрометація пристрою може призвести до перехоплення корпоративного листування, впровадження шкідливого вмісту в поштовий потік і використання пристрою як плацдарму для подальшого проникнення в мережу.
Для решти п’яти вразливих продуктів (ADC, BMA, WCC, WAF, WSG) ризик обмежується сценарієм ін’єкції команд за наявності адміністративного доступу — серйозна, але менш імовірна загроза за умови дотримання базових практик керування доступом.
Рекомендації
Пріоритет першого рівня — Barracuda ESG із доступним з інтернету адміністративним інтерфейсом:
- Негайно обмежте доступ до адміністративного інтерфейсу ESG, дозволивши підключення лише з довірених внутрішніх мереж.
- Перевірте поточну версію прошивки і визначте застосовний патч: BNSF-40425 для систем із версією 9.4.017 і вище, BNSF-40430 для систем нижче 9.4.017.
- Застосуйте патч вручну, якщо автоматичне оновлення не завершилося. Barracuda зазначає, що за значного відставання версії прошивки може знадобитися кілька послідовних оновлень.
- Увімкніть автоматичне отримання патчів, якщо цю функцію було вимкнено.
Для решти вразливих продуктів — застосуйте відповідні патчі: BNADC-16586 для ADC і WAF, BNMA-32468 для Message Archiver, BNWF-60060 для WAF Control Center, BNYF-24789 для Web Security Gateway.
Організаціям, які експлуатують Barracuda ESG, слід розглядати цю пару вразливостей як таку, що вимагає негайного реагування: поєднання оцінки CVSS 9.3 для обходу автентифікації, наявності публічного інструменту валідації та критичної ролі поштового шлюза в інфраструктурі не залишає простору для відкладання оновлення. Першочергова дія — переконатися, що адміністративний інтерфейс ESG недоступний з інтернету, і застосувати відповідний патч від Barracuda.
