セキュリティ
露出したデバイスを狙う動きか
セキュリティ企業のBarracudaは、同社の主力製品であるEmail Security Gateway（ESG）に存在する認証前の認可バイパスの脆弱性とコマンドインジェクションの脆弱性が悪用されていると警告しました。この2つを連鎖させると、攻撃者がroot権限でコマンドを実行できる恐れがあります。
同社は、月曜日深夜に先のセキュリティアドバイザリを更新し、「少数の組織で悪用の動きを確認しました」と明らかにしました。
Barracudaは、何社が被害を受けたのかなどThe Registerの質問には回答しませんでした。同社の広報担当者は、影響を受けた企業と「直接連携し、迅速に問題へ対処しました。Barracudaは速やかに脆弱性を修正し、対象製品向けのパッチを公開しました」と述べています。
同社は脆弱性CVE-2026-116606とCVE-2026-111560を先週公表し、修正しています。
CVE-2026-116606は、ESGに存在する認証前の認可バイパスの脆弱性で、CVSSスコアは9.3です。悪用に認証は必要ありませんが、攻撃者は管理用ユーザーインターフェースにアクセスできる必要があります。
Purplecop Securityの創設者Tausif Ahmed氏は火曜日、次のように指摘しました。「Email Security Gatewayの管理画面がインターネットに公開されているなら、今日まず最初に閉じるべきです」
CVE-2026-111560は、スコア8.6のコマンドインジェクションの脆弱性です。ESGのほか、ロードバランサー（ADC）、メッセージアーカイバー（BMA）、Webアプリケーションファイアウォール（WAF）、WAFコントロールセンター（WCC）、Webセキュリティゲートウェイ（WSG）など、Barracudaの複数の製品に影響します。
Barracudaは11月2日、「これらの脆弱性を組み合わせて悪用された場合、攻撃者が認可制御を回避し、デバイスのroot権限を取得する恐れがあります」と警告していました。この時点で、同社はどちらの脆弱性についても、悪用は確認されていないとしていました。
攻撃の背後にいるのが誰なのか、また侵入者がroot権限を取得したのかどうかは、まだわかっていません。ただ、取得されていれば、データの窃取やバックドアの設置が可能になり、影響を受けたシステムを完全に掌握される恐れがあります。
この種のエッジデバイスを狙う攻撃は、中国政府系のスパイが使ってきた手口です。2023年には、BarracudaのESGを標的にしてカスタムマルウェアを展開し、価値の高いネットワークへのアクセスを維持した一連の攻撃について、米連邦捜査局（FBI）が中国と関係のある攻撃者の犯行と断定しました。Mandiantによると、被害を受けたと確認された組織の27％は政府機関でした。
まだ対応していない場合は、今すぐパッチを適用してください。®
