Barracudaは、認証前に悪用できる認可バイパスの脆弱性「CVE-2026-116606」と、OSコマンドインジェクションの脆弱性「CVE-2026-111560」を修正しました。この2つを組み合わせると、攻撃者は認可制御を回避し、影響を受けるアプライアンスのroot権限を奪取できます。
どちらの脆弱性も、対象製品の管理インターフェースへのアクセスが前提です。この管理インターフェースをインターネットに公開していない組織は、攻撃を受ける範囲が小さくなります。
2026年11月2日に公開・更新されたセキュリティアドバイザリーでは、両方のCVEについて「Authentication Required: Yes, administrative access（認証必須：はい、管理者アクセス）」と記載されています。
CVE-2026-116606は認証前の認可バイパスで、CVSSスコアは9.3です。影響を受けるのはEmail Security Gateway（ESG）のみです。Barracudaは深刻度を「High」と評価しています。
この種の認可バイパスは、他の製品でも確認されています。たとえば、CDP Coordinator Serviceに影響するVeeam Backup & Replicationの認可バイパスがあります。このVeeamの脆弱性も、リモートから悪用できます。
CVE-2026-111560はコマンドインジェクションの脆弱性で、CVSSスコアは8.6です。影響を受ける製品は、ESG、Load Balancer ADC、Message Archiver（BMA）、WAF Control Center（WCC）、Web Application Firewall（WAF）、Web Security Gateway（WSG）の6製品です。
注入されたコマンドは、root権限での実行にまでエスカレートする可能性があります。cPanelのroot権限によるサーバー乗っ取りの脆弱性も、低い権限の足がかりからroot権限での実行に至りうることを示す類似の例です。
ESGは両方のCVEの影響を受ける唯一の製品であるため、リスクが最も高くなります。認可バイパスで認可チェックを突破した後、コマンドインジェクションによりroot権限でコマンドを実行されてしまいます。
攻撃者は、無関係な複数のバグを連鎖させて同様の結果を得た例もあります。その一例が、PHP2ShellとLinuxカーネルの脆弱性を組み合わせた攻撃チェーンで、25台のサーバーでroot権限が奪われました。
Barracudaは、管理インターフェースへのアクセスを信頼できる内部ネットワークに限定し、ネットワークアクセス制御を適用するよう推奨しています。
デバイスは、本体に表示される最新のファームウェアで運用する必要があります。バージョンが複数遅れているデバイスでは、更新を複数回行わなければならない場合があります。
自動パッチ適用を無効にしている顧客は、再度有効にしてください。パッチが自動的に適用されていない場合は、手動で適用してください。
手順はBarracuda Campusに掲載されています。ファームウェアのバージョン確認やパッチ適用については、Barracuda Supportに支援を依頼できます。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームで試してみる
翻訳元: https://cyberpress.org/critical-barracuda-security-flaws/
