Barracudaは、同社のEmail Security Gateway（ESG）アプライアンスでroot権限を取得できる、連鎖可能な2件の脆弱性に対するパッチを公開しました。
1件目は「CVE-2026-116606」（CVSSスコア9.3）で、ESGのみが影響を受ける認証バイパスの脆弱性です。2件目の「CVE-2026-111560」（CVSSスコア8.6）はコマンドインジェクションの脆弱性で、ESG以外にもBarracudaの5製品に影響します。
Mandiantは、CVE-2026-116606について解説したアドバイザリで、次のように説明しています。「Barracuda Email Security Gatewayのバージョン9.4.0.030より前には認証バイパスの脆弱性があります。認証されていないリモートの攻撃者が設定インポート機能を呼び出し、細工した互換性のあるバックアップアーカイブを復元することで、アプライアンスのグローバル設定を不正に変更できます」。
コマンドインジェクションの脆弱性は、タイムゾーン設定の項目にあります。この部分のコードはBarracudaの複数製品で共有されています。Mandiantによると、管理者権限でログインした攻撃者がこれを悪用すれば、rootとしてOSコマンドを実行できます。
Barracudaは次のように述べています。「2件の脆弱性を組み合わせて悪用された場合、攻撃者が認可制御を回避し、デバイスのroot権限を取得する可能性があります」。
コマンドインジェクションの脆弱性は、ESGのほか、Load Balancer Application Delivery Controller（ADC）、Message Archiver、WAF Control Center、Web Application Firewall（WAF）、Web Security Gateway（WSG）にも影響します。
Barracudaによると、攻撃者がこれらの脆弱性を悪用するには、アプライアンスの管理インターフェースに到達できる必要があります。同社は、管理インターフェースには信頼できる内部ネットワークからのみアクセスできるようにすることを推奨しています。
Barracudaのアドバイザリは、2件とも管理者アクセスが必要だとしながら、CVE-2026-116606を事前認証の問題とも位置づけています。両脆弱性のアドバイザリを公開したMandiantは、ESGの脆弱性は認証なしで悪用できるとしています。
利用者には、最新のファームウェアへの更新と、提供されているすべてのパッチが適用されていることの確認が求められます。Barracudaは、自動で適用されなかったパッチは手動でインストールし、自動パッチ適用を無効にしているデバイスでは有効に戻すよう呼びかけています。
Mandiantによると、Barracudaにはコマンドインジェクションが10月15日に、認証バイパスが10月22日に報告されました。いずれのアドバイザリも、これらの脆弱性が実際の攻撃で悪用されたかどうかには触れていません。
ESGアプライアンスは過去にも、中国のサイバースパイ集団に狙われました。この集団は2022年10月から、ゼロデイ脆弱性「CVE-2023-2868」を悪用しました。この攻撃を受けてBarracudaは、侵害されたデバイスを交換するよう顧客に通達しています。
