認可バイパスとコマンドインジェクションの脆弱性を組み合わせると、攻撃者がBarracudaデバイスのroot権限を取得できる恐れがあります。
多様なサイバーセキュリティ製品を提供するBarracudaが、自社製品の脆弱性に見舞われました。
同社は、深刻度が「クリティカル」と「高」の2件の脆弱性を公表しました。これらを連鎖させると、攻撃者は認可制御を回避し、デバイスのroot権限を取得できる可能性があります。
1件目は認証前の認可バイパスの脆弱性で、CVE-2026-116606として追跡されています。共通脆弱性評価システム（CVSS）の深刻度は9.3で、クリティカルに分類されます。2件目はコマンドインジェクションの脆弱性で、CVE-2026-111560として追跡されています。CVSSの深刻度は8.6で、「高」に分類されます。これらの脆弱性を悪用するには、攻撃者が脆弱なデバイスの管理インターフェースにアクセスできる必要があります。
Barracudaはセキュリティパッチをリリースしており、顧客に直ちに適用するよう呼びかけています。
脆弱性は多数の主力Barracuda製品に影響
Dickson ResearchのFrank Dickson氏は、メールゲートウェイでroot権限を奪われると、送受信するすべてのメッセージが通過する場所を攻撃者に押さえられることになると指摘します。メールサーバーやディレクトリに接続するための認証情報や接続情報も、露出する恐れがあるといいます。同氏は「いわば王国の鍵を渡すようなものです」と述べています。
同社によると、CVE-2026-116606とCVE-2026-111560はいずれもBarracudaのEmail Security Gateway（ESG）に影響します。CVE-2026-111560はさらに、Web Security Gateway（WSG）、Web Application Firewall（WAF）、WAF Control Center（WCC）、Load Balancer Application Delivery Controller（ADC）、Message Archiver（BMA）にも影響します。
同社は、これらの製品を利用する顧客に対し、システムが最新のファームウェアで動作し、すべてのセキュリティパッチが適用済みであることを確認するよう求めています。デバイスには利用可能な最新のファームウェアバージョンが表示されます。ファームウェアが複数バージョン古い場合は、更新を複数回実施する必要があるかもしれません。
Barracudaによれば、アプライアンスの管理インターフェースをWebから公開していない企業は、リスクが比較的低くなります。同社は、これらのインターフェースへのアクセスを信頼できる内部ネットワークに限定し、適切なネットワークアクセス制御で露出を抑えるよう推奨しています。
Infotechのプリンシパル・アドバイザリー・ディレクターであるJon Nelson氏は「最大の懸念は、2つの脆弱性が連鎖し得ることです」と話します。認証を回避してからコマンドインジェクションを悪用すれば、攻撃者は露出したアプライアンスへのアクセスから、デバイス上でのコマンド実行にまで進めると、同氏は指摘します。「個々の脆弱性を単独で評価すると、リスクを過小評価しかねません」と述べています。
Dickson氏はさらに、セキュリティ責任者はアドバイザリーを注意深く読むべきだと述べました。一方の脆弱性を「認証前（pre-authentication）」としながら、「Authentication Required: Yes, administrative access」（認証必須：はい、管理者アクセス）とも記載しているためです。
同氏は「通常の意味では、両方が同時に成り立つことはありません」と指摘します。ここでのアクセスとは、パスワードなしでネットワーク経由で管理インターフェースに到達できることを指す可能性が高いといいます。
「管理インターフェースがインターネットに面していれば、その条件はすでに満たされています」と、Dickson氏は述べています。
同氏はまた、アドバイザリーが深刻度9.3を「高」としている点にも触れました。標準的な基準では、9.0以上は「クリティカル」です。「些細なことですが、ラベルがパッチ適用の優先順位を左右します」と述べています。さらに、アドバイザリーはこれらの脆弱性が現在悪用されているかどうかを明記していません。ただし、悪用されていないとも記していません。
企業はどう対応すべきか
Dickson氏は「管理インターフェースをインターネットから切り離してください」と強調します。サイバーセキュリティコンサルタントとして、週に少なくとも数回はこの助言をしているといいます。「エッジデバイスの管理インターフェースは、脆弱性の温床であり続けています」。
同氏によれば、管理アクセスを信頼できる内部ネットワークか専用の管理ネットワークに限定したら、次に「パッチが正しく適用されたと思い込まず、実際に検証すべき」だといいます。そのうえで、管理ログを調べて不正なアクセス者がいないかを分析し、見覚えのないアカウントがないか確認し、デバイスからの想定外の外部接続を探すよう助言しています。
過去の経緯も重要だと、同氏は付け加えました。2023年には、このメールセキュリティゲートウェイ（ESG）でゼロデイ脆弱性が見つかりました。Barracudaは、侵害されたアプライアンスを使う顧客に対し、パッチに頼らず本体を丸ごと交換するよう求めました。同氏は「パッチは錠前を直します。ただ、すでに誰が合鍵を持っているかまでは教えてくれません」と語っています。
Nelson氏も、企業は誰が管理インターフェースに到達できるのかを精査すべきだとの見方で一致しています。加えて、適切に構成したゼロトラスト・アクセス層など、追加の制御の背後にアクセスを置くべきだといいます。
「これらのインターフェースをインターネットに直接公開するのは、もともと悪手でした」と同氏は述べます。「AIによって弱点の発見や攻撃の連鎖が容易になるなか、その露出は正当化しにくくなっています」。AIは、ソフトウェアの欠陥の探索範囲も広げています。たとえば、アプリケーションが本来の制御を回避させられてしまうビジネスロジックの弱点などです。Nelson氏は、こうした状況では認証・認可のバイパスにとくに注意が必要だと話しています。
高度なAIでコードを調べるベンダーが増えれば、脆弱性の開示が増え、対応に使える猶予も短くなる可能性があると、同氏は指摘します。CISOはその備えが必要です。「つまり、露出しているアプライアンスを把握し、アクセスを制限し、次のゼロデイが現れる前に対応計画を整えておくことです」と述べています。
各アプライアンスが何を露出させるかを理解する
セキュリティアプライアンスが企業ネットワークに新たな脆弱性をもたらす例が増えており、サイバーセキュリティをめぐる議論も変わりつつあります。企業はネットワークを守るためにこれらに頼っていますが、突き詰めればそれ自体が脆弱性を抱えるソフトウェアシステムです。
Dickson氏は「攻撃者が陣取りたい場所に、まさに置かれています」と指摘します。
同氏によれば、ファイアウォール、VPN、メールゲートウェイは、設計上インターネットに面しています。それが本来の役割です。機微なトラフィックを目にし、認証情報も保持しています。ノートPCやサーバーを守るエンドポイント検出ツールを実行できないものが大半で、侵害が長期間発覚しないことがあります。しかも全顧客が同じファームウェアで動作しているため、1つの有効なエクスプロイトが数千の組織に広がる恐れがあります。
Dickson氏は「議論は、どの製品を買うかから、その製品自体が何を露出させるかへと移りつつあります」と述べます。「アプライアンスの購入は、ネットワークで最も露出した地点で、ベンダーのコードを信頼するという決断にほかなりません」。企業内の他のどの製品とも同様に、精査に値するといいます。
同氏は、購入者がベンダーに4つの質問をすべきだと助言しています。管理インターフェースはデフォルトでインターネットに公開されているか。パッチはどれだけ速く提供されるか。自動で適用されるか。ユーザーはどのようなログを確認できるか、の4点です。
Dickson氏は「セキュリティアプライアンスは、境界を守るだけではありません」と指摘します。「それ自体が境界です。組織が持つなかで最も攻撃されるシステムとして扱うべきです。実際にそうなのですから」。
