サイバーセキュリティ企業のBarracuda Networksは、攻撃者がroot権限でコマンドを実行できてしまう2件の脆弱性について、顧客にパッチ適用を呼びかけました。
1件目は重大な脆弱性（CVE-2026-116606）で、Email Security Gateway（ESG）の認証の弱点に起因します。攻撃者はこれを悪用して、アプライアンスのグローバル設定を改ざんできます。2件目（CVE-2026-111560）は、管理者権限を持つ攻撃者がOSコマンドを注入し、root権限で実行できるものです。
ただしBarracudaによると、攻撃を成功させるには、標的デバイスの管理インターフェースにアクセスできることも必要です。同社は、適切なネットワークアクセス制御を実施し、信頼できる内部ネットワークにアクセスを限定して、リスクを抑えるよう顧客に勧めています。
同社は次のように説明しています。
「攻撃が成功するには、影響を受ける製品の管理インターフェースにアクセスできることが前提となります。両方の脆弱性を組み合わせて悪用された場合、攻撃者は認可の制御を回避し、デバイスのroot権限を取得するおそれがあります」
「Barracudaは直ちに包括的な対応プロセスを開始し、影響を受ける製品向けにセキュリティパッチをリリースしました。顧客の皆様は、影響を受ける製品と対処方法のガイダンス[..]を確認し、システムが最新のファームウェアで動作していること、すべてのセキュリティパッチが適用されていることをご確認ください」
影響を受けるすべてのデバイスと、利用可能なセキュリティパッチの一覧は、下の表のとおりです。
| 影響を受ける製品 | CVE-2026-116606 | CVE-2026-111560 | パッチ |
|---|---|---|---|
| Email Security Gateway（ESG） | 該当 | 該当 | BNSF-40425（9.4.017以降）、 BNSF-40430（9.4.017未満） |
| Load Balancer ADC | 非該当 | 該当 | BNADC-16586 |
| Message Archiver（BMA） | 非該当 | 該当 | BNMA-32468 |
| WAF Control Center（WCC） | 非該当 | 該当 | BNWF-60060 |
| Web Application Firewall（WAF） | 非該当 | 該当 | BNADC-16586 |
| Web Security Gateway（WSG） | 非該当 | 該当 | BNYF-24789 |
3年前にも、BarracudaはEmail Security Gateway の脆弱性（CVE-2023-7102）にパッチを適用しています。この脆弱性では、ハッキング集団UNC4841がゼロデイ攻撃で悪用し、パッチ未適用のアプライアンス上で任意のコードを実行していました。
同じ年には、UNC4841が別のゼロデイ脆弱性（CVE-2023-2868）を悪用し、サイバースパイ活動の一環としてBarracuda ESGアプライアンスを狙いました。
Barracudaは後に、この脆弱性が少なくとも2022年10月から少なくとも7か月間悪用されていたと公表しました。攻撃者はこれを使って、それまで知られていなかったマルウェアSeaSpyとSaltwaterを仕込み、侵害したシステムからデータを盗んでいました。
サイバーセキュリティ企業のMandiantによると、2023年の攻撃キャンペーンで侵害されたアプライアンスの約3分の1は世界各国の政府機関のもので、その大半は2022年10月から12月にかけて侵害されました。
2003年創業のBarracudaは、中小企業（SMB）、大企業、マネージドサービスプロバイダー（MSP）など、世界で20万社以上の顧客を抱えています。
