攻撃者が、最近パッチが公開された2件の Barracuda製品の脆弱性 の悪用を始めました。この2件は連鎖させることで、認可制御を回避してroot権限を奪取できる可能性があります。
1件目は「CVE-2026-116606」（CVSSスコア9.3）として追跡されている脆弱性で、Barracuda Email Security Gateway（ESG）における認証バイパスと説明されています。
管理用ユーザーインターフェース（Admin UI）にアクセスできる攻撃者がこの脆弱性を突くと、細工したバックアップアーカイブを復元させ、アプライアンスの設定を改ざんできます。
2件目の「CVE-2026-111560」（CVSSスコア8.6）はコマンドインジェクションの脆弱性です。影響を受けるのは、Barracuda ESGのほか、Load Balancer Application Delivery Controller（ADC）、Web Application Firewall（WAF）、Web Security Gateway（WSG）、Message Archiver（BMA）、WAF Control Center（WCC）です。
脆弱なアプライアンスの管理者権限を持つ攻撃者は、この欠陥を悪用してOSコマンドを注入し、root権限で実行できます。
Barracudaは11月2日、「これらの脆弱性を組み合わせて悪用された場合、攻撃者が認可制御を回避し、デバイスのroot権限を取得する恐れがあります」と説明しました。
その1週間後、同社はセキュリティアドバイザリを更新し、2件の脆弱性が少数の組織に対する攻撃で悪用されていると警告しました。
米サイバーセキュリティ庁CISAは火曜日、CVE-2026-116606とCVE-2026-111560を「既知の悪用された脆弱性（KEV）」カタログに追加しました。BOD 26-04の規定に基づき、連邦機関に対して3日以内にパッチを適用するよう求めています。
BarracudaとCISAは悪用の詳細を公表していません。ただ、セキュリティ企業のPrevidianは、11月9日から11月11日にかけて、CVE-2026-116606を狙う試行を17件観測しました。攻撃は3カ国、15のIPアドレスから行われていたということです。
すべての組織に対し、Barracuda製品をできるだけ早く更新するとともに、管理インターフェースをインターネットに公開しないよう推奨します。管理インターフェースへのアクセスは、信頼できる内部ネットワークのみに限定する必要があります。
翻訳元: https://www.securityweek.com/recently-patched-barracuda-vulnerabilities-exploited-in-attacks/
