Barracuda、ルート権限の奪取につながる2件の脆弱性にパッチを公開

BarracudaのEmail Security Gatewayに存在する2件の脆弱性が、認可バイパスとコマンドインジェクションの組み合わせにより、攻撃者に対象アプライアンスのルートレベルの制御を許す恐れがあります。

Barracuda Networksは2026年11月2日、CVE-2026-116606とCVE-2026-111560に対するセキュリティパッチを公開しました。影響を受ける製品ファミリーは6つありますが、両方の脆弱性の影響を受けるのはEmail Security Gateway（ESG）のみです。このため、不正な設定変更から特権コマンドの実行へとつながる攻撃経路が成立する可能性があります。

Barracudaはセキュリティアドバイザリで、悪用には対象アプライアンスの管理インターフェースへのネットワークアクセスが必要だと説明しています。同社は、管理アクセスを制限し、該当するセキュリティパッチが適用されているかを確認するよう推奨しています。

Barracudaの脆弱性がルート権限の奪取につながる仕組み

CVE-2026-116606は、ESGに影響する認証前の認可バイパスの脆弱性です。認証されていないリモートの攻撃者が、設定インポート機能を通じて、細工した互換性のあるバックアップアーカイブをリストアすることで、アプライアンスのグローバル設定を不正に変更できる恐れがあります。Mandiantの技術的な開示情報によると、この脆弱性のCVSS v4.0スコアは9.3で、深刻度は「緊急（Critical）」です。

CVE-2026-111560は、タイムゾーン設定フィールドにおけるシェルメタ文字の不適切な処理に起因するコマンドインジェクションの脆弱性です。認証済みの管理者がコマンドを注入すると、変更された値が処理される際にルート権限で実行される恐れがあります。Mandiantが別途公開した情報では、CVSS v4.0スコアは8.6、深刻度は「高（High）」とされています。

この2件を連鎖させると、攻撃者がESGのルートレベルの制御を握る可能性があります。これとは別に、Cisco製ファイアウォールの管理基盤に対する攻撃では、侵害されたセキュリティ管理システムから認証情報や内部ネットワークが露出しうることが示されています。2026年11月5日時点で、今回のBarracudaの脆弱性2件について、悪用が公に確認された事例は報告されていません。

影響を受けるBarracuda製品とセキュリティパッチ

認可バイパスの影響を受けるのはESGのみです。コマンインジェクションの脆弱性は、ほかの5つの製品ファミリーにも影響しますが、これらでは単独での悪用に管理者権限が必要です。

Barracudaは次のパッチを公開しています。

BarracudaのESGのアップデートに関するドキュメントは、ファームウェア9.4.0.029以降をパッチ適用済みとしています。一方、Mandiantは9.4.0.030より前のバージョンが脆弱だとしています。管理者は、該当するセキュリティパッチが適用されていることを確認してください。両者のバージョン情報が食い違っており、自社の機器が保護されているか判断できない場合は、Barracudaサポートに問い合わせることをお勧めします。

悪用可能性と露出度に基づいて脆弱性の優先順位を決めることで、どのアプライアンスに早急な対応が必要かを見極めやすくなります。セキュリティチームは次の対策を講じる必要があります。

• セキュリティパッチの確認：適用を確認し、必要に応じて自動更新を有効化する。古いファームウェアでは、段階的なアップグレードが必要になる場合がある
• 管理アクセスの制限：管理インターフェースを公開インターネットに置かず、管理ネットワークを分離し、信頼できるシステムにのみアクセスを許可する
• 管理者権限の統制強化：最小権限の原則を徹底し、対応していれば多要素認証を適用する。ただし、多要素認証では認証バイパスを防げない
• 不審な動作の監視：通常と異なる設定のインポート、バックアップのリストア、タイムゾーンの変更、見覚えのないアカウント、予期しない外向きの通信を調査する
• 設定の整合性の検証：設定を正常時のベースラインと比較し、安全な設定バックアップを維持する
• インシデント対応計画のテスト：ログを保全し、侵害の可能性があるアプライアンスの調査・隔離・復旧の手順を検証する

過去には、WAFによる保護のバイパスや、パッチ未適用のエンタープライズソフトウェアが悪用された攻撃がありました。こうした事例は、ネットワーク防御の限界を示しています。Barracudaの顧客は、パッチの適用を確認し、管理アクセスを制限することで、今回公表された攻撃チェーンへの露出を減らす必要があります。

関連記事：悪用されたCheck Pointの管理サーバーのゼロデイ脆弱性は、セキュリティ管理基盤の脆弱性が、組織を不正なコード実行の危険にさらしうることを浮き彫りにしています。