サイバーセキュリティ企業のBarracuda Networksは、最近修正した2件のEmail Security Gateway(ESG)の脆弱性について、攻撃者による悪用が始まったと警告しました。これらの脆弱性を突かれると、root権限でコマンドを実行される恐れがあります。
Barracudaは1週間前、この2件の脆弱性(CVE-2026-116606およびCVE-2026-111560)に対応するセキュリティアップデートを公開していました。
1件目はEmail Security Gateway(ESG)の認証の不備に起因する脆弱性で、悪用されるとアプライアンスのグローバル設定を変更される恐れがあります。2件目は、認証されていない攻撃者がOSコマンドを注入し、root権限で実行できてしまう脆弱性です。
Barracudaによると、攻撃を成功させるには、標的デバイスの管理用ユーザーインターフェース(Admin UI)にアクセスできる必要があります。同社は利用者に対し、アクセスを信頼できる内部ネットワークに限定し、適切なネットワークアクセス制御で露出を抑えるよう呼びかけています。
同社は「攻撃が成功するには、攻撃者が影響を受ける製品の管理インターフェースにアクセスできる必要があります。2件を組み合わせて悪用された場合、攻撃者は認可制御を回避し、デバイスのroot権限を取得できる可能性があります」と説明しています。
月曜日の夜、Barracudaは当初のアドバイザリを更新しました。この2件の脆弱性が、一部の顧客を狙った攻撃で悪用されていると、管理者に注意を促しています。
同社は次のように警告しています。「Barracudaは直ちに包括的な是正プロセスを開始し、影響を受ける製品向けにセキュリティパッチを公開しました。少数の組織で悪用の動きを確認しています」
「パッチが自動で適用されていない場合は、顧客自身が該当するパッチをできるだけ早く手動で適用してください。自動パッチ適用を無効にしている顧客には、デバイスが自動でパッチを受信する設定に変更することをお勧めします」
影響を受けるすべてのデバイスと、対応するセキュリティパッチを下の表にまとめました。
| 影響を受ける製品 | CVE-2026-116606 | CVE-2026-111560 | パッチ |
|---|---|---|---|
| Email Security Gateway(ESG) | 該当 | 該当 | BNSF-40425(9.4.017以降)、 BNSF-40430(9.4.017未満) |
| Load Balancer ADC | 非該当 | 該当 | BNADC-16586 |
| Message Archiver(BMA) | 非該当 | 該当 | BNMA-32468 |
| WAF Control Center(WCC) | 非該当 | 該当 | BNWF-60060 |
| Web Application Firewall(WAF) | 非該当 | 該当 | BNADC-16586 |
| Web Security Gateway(WSG) | 非該当 | 該当 | BNYF-24789 |
3年前、BarracudaはEmail Security Gateway(ESG)の別の脆弱性(CVE-2023-7102)を修正しました。この脆弱性は、ハッキンググループ「UNC4841」がゼロデイ攻撃で悪用し、任意のコードを実行していました。同じ年にUNC4841は、別のゼロデイ脆弱性(CVE-2023-2868)も悪用し、一連のサイバースパイ攻撃の一環としてBarracuda ESGアプライアンスを狙いました。
その後Barracudaは、この脆弱性が少なくとも2022年10月から少なくとも7か月間、ゼロデイとして悪用されていたことを明らかにしました。攻撃者はこれを利用して、未知のマルウェア「SeaSpy」と「Saltwater」を設置し、侵害したデバイスからデータを盗み出していました。
セキュリティ企業Mandiantによると、2023年の攻撃キャンペーンで侵害されたシステムのほぼ3分の1は政府機関のものでした。その大半は、2022年10月から12月にかけて侵害されています。
Barracudaは2003年に設立され、現在は世界で20万社以上の顧客を抱えています。顧客には中小企業(SMB)、大企業、マネージドサービスプロバイダー(MSP)が含まれます。
