事故・脆弱性16分で読める

CVE-2026-116606・CVE-2026-111560 — Barracuda Email Security Gatewayの認証回避とOSコマンド実行の脆弱性の解説と対応策（KEV掲載・期限11月13日・侵害の確認が必要）

CVE-2026-116606はBarracuda ESGの管理画面に届けば認証なしで設定を書き換えられる欠陥。CVE-2026-111560と組み合わさるとroot権限に至る。KEV掲載、期限11月13日。

重大CVSS9.3#CVE-2026-116606 #CVE-2026-111560 #Barracuda #Email Security Gateway #認証回避 #OSコマンドインジェクション #KEV #メールセキュリティ

公開日: 2026-11-11
更新日: 2026-11-11
最終確認: 2026-11-11

Barracuda Email Security Gateway（ESG。受信メールのスパム・マルウェアを検査する機器）などで見つかった、管理画面から機器を乗っ取られかねない2つの脆弱性の解説です。影響範囲と対応策を、攻撃の再現手順は伏せて防御目線でまとめます。

速報サマリー — ADVISORY / KEV / FORENSICS

CVE: CVE-2026-116606（認証回避）と CVE-2026-111560（OSコマンド実行）
重大度: 116606：CVSS v4.0 9.3（CVEの記録はCritical、Barracudaの勧告の表記はHigh）／ 111560：CVSS v4.0 8.6（High）
種別: 116606：認証回避（CWE-288）。設定のインポート機能を認証なしで呼び出し、全体設定を書き換えられる／ 111560：タイムゾーン設定欄のOSコマンドインジェクション（CWE-78）。root権限で実行される
前提条件: 116606：認証は不要だが、管理画面に到達できること（11月5日に勧告を訂正）／ 111560：管理者としての認証が必要。2つは組み合わせられる
対象: 116606：ESG ／ 111560：ESG・Load Balancer ADC・Message Archiver（BMA）・WAF Control Center（WCC）・Web Application Firewall（WAF）・Web Security Gateway（WSG）
修正: パッチ番号で案内（ESGはBNSF-40425／BNSF-40430）。自動で適用されなかった場合は手動で適用
公開日: Barracudaの勧告・CVE：2026年11月2日
悪用状況: Barracudaが少数の組織への悪用を確認。CISA KEVに2026年11月10日追加（対応期限 11月13日）。フォレンジックの確認を要求

3日

KEV追加から期限まで

9.3

CVE-2026-116606（CVSS v4.0）

root

2つを組み合わせたときに得られる権限

11月13日

KEVの対応期限

結論

期限は3日。管理画面を閉じ、証拠を残してから更新し、侵害の痕跡を確かめる

2つの脆弱性は組み合わせられ、成功すると機器のroot権限に至り得ます。ESGは一般にメールの通り道にあるため、乗っ取られると影響は機器の中にとどまりません。CISAはKEVに載せて期限を3日とし、更新だけでなく侵害の確認（フォレンジック）も求めています。更新して終わりにしないでください。

対象の機器（ESG・ADC・BMA・WCC・WAF・WSG）を洗い出し、管理画面を内部ネットワークに限る。
更新で消える情報があり得るので、先に設定とログを保全する。
パッチを適用し、適用済みであることを機器の表示で確かめる。
管理者アカウント、設定の変更と復元、外向き通信を点検する。

放置の危険度

ESGは多くの構成では受信メールが通る位置に置かれ、一般にメールの経路や転送の設定、連携先の資格情報を持ちます。全体設定を書き換えられたり、root権限を奪われたりすると、メールの内容や流れに及びます。Barracudaは悪用を確認したと書いており、CISAは悪用ありと評価しています。

どんな脆弱性か

2つの脆弱性は、Barracudaの1本の勧告にまとめて案内されています。勧告は、攻撃には対象製品の管理画面への到達が要り、組み合わせると認可の仕組みを回避してroot権限に至り得ると説明しています。

CVE-2026-116606（ESGのみ）

種別：認証回避（CWE-288）
認証されていない攻撃者が、設定のインポート機能を呼び出して全体設定を書き換えられる
認証は不要。ただし管理画面に届くことが条件
CVSS v4.0 9.3

CVE-2026-111560（6製品）

種別：OSコマンドインジェクション（CWE-78）
タイムゾーン設定欄の検査不備により、管理者がroot権限でコマンドを実行できる
管理者としての認証が必要
CVSS v4.0 8.6

注意したいのは、勧告の訂正です。Barracudaは11月5日に、CVE-2026-116606の「認証が必要か」の欄をはい（管理者権限）からいいえ（管理画面への到達は必要）に改めました（訳であり、逐語ではありません）。認証は要らないので、管理画面が外から見える機器では、特別な資格情報がなくても前提が満たされます。さらに、当サイトの整理では、認証済みの管理者が必要だったCVE-2026-111560は、この認証回避と組み合わせることで、認証なしの経路にもつながります（KEVの説明も2つの連鎖に触れています）。

攻撃の手順やリクエストの形は、勧告にも書かれておらず、当サイトも記載しません。

影響範囲

製品	CVE-2026-116606	CVE-2026-111560	パッチ（Barracudaの勧告）
Email Security Gateway（ESG）	対象	対象	BNSF-40425（9.4.017以降）、BNSF-40430（9.4.017より前）
Load Balancer ADC	対象外	対象	BNADC-16586
Message Archiver（BMA）	対象外	対象	BNMA-32468
WAF Control Center（WCC）	対象外	対象	BNWF-60060
Web Application Firewall（WAF）	対象外	対象	BNADC-16586
Web Security Gateway（WSG）	対象外	対象	BNYF-24789

勧告は、修正をパッチ番号で示し、影響を受ける版の範囲は書いていません。影響を受ける版の範囲は、CVEの記録と調査会社の報告に載っています。CVE-2026-116606はESG 9.4.0.030より前。CVE-2026-111560はESG 9.4.0.27以前、ADC 6.4.0以前、WAF 11.0.1以前、WSG 16.1.100.100以前、BMA 5.5.4.0以前、WCC 2.2.1以前です。
版の表記の形式が出所で違う（9.4.0.030と9.4.0.27など）ので、機器に表示される最新のファームウェア版とパッチの適用状況で判断してください。
数版遅れている機器は、更新を複数回に分ける必要があるとBarracudaは案内しています。Barracuda Supportが支援します。
回避策として示されているのは、管理画面を信頼できる内部ネットワークに限ることだけです。更新の代わりになる設定はありません。

自分が対象か確かめる方法

Barracudaの機器を洗い出す

ESGだけでなく、Load Balancer ADC、Message Archiver、WAF Control Center、Web Application Firewall、Web Security Gatewayも対象です。物理機器、仮想アプライアンス、クラウド上のものを分けて数えます（資産棚卸しチェックリスト）。

管理画面に外から届くかを確認する

管理画面（Admin UI）が、インターネットや信頼できない社内ネットワークから見えるかを確認します。Barracudaは、管理画面が公開されていない組織は攻撃経路への露出が小さいと書いています。

ファームウェア版とパッチの適用状況を確認する

機器の画面に最新のファームウェア版が表示されます。パッチが自動で適用されたか、自動パッチが切られていないかを確かめます。

今日やること

KEVの期限は11月13日です。次の順で進めます。

管理画面の到達範囲を絞る（最初にやる）

Barracudaの案内どおり、管理画面を信頼できる内部ネットワークに限り、アクセス制御で到達できる送信元を絞ります。更新を待たずにできる、露出を減らす手当てです。

更新の前に、設定とログを保全する

CISAの手順は、証拠を集めてから更新するよう求めています。更新で証拠が失われることがあるためです。機器の設定のコピーと、管理操作・認証・メール処理のログを、更新前に別の場所へ保存し、取得した日時と取得者を記録します（脆弱性対応の実務手順）。

パッチを適用し、適用済みであることを確かめる

上の表のパッチ番号に従って適用します。自動で適用されていなければ手動で適用し、自動パッチを切っていた場合は自動で受け取る設定に戻します。手動の手順はBarracuda Campusに案内があります。適用後に、機器が表示するファームウェア版とパッチの状態を確認します。

侵害の痕跡を確認する（フォレンジック）

Barracudaの勧告は、侵害の確認方法を示していません。次の点は、当サイトの補足です。

管理者アカウントの追加や変更、想定外の時刻・送信元からの管理画面へのログイン。
設定の変更や、設定を復元（インポート）した操作の記録。想定外の設定値がないか。
メールの経路、転送、フィルタの設定に、身に覚えのない変更がないか。
機器から外部への、普段ない通信や、想定外の管理操作。

疑わしい痕跡があれば、機器を隔離して資格情報を入れ替える

不審な操作が見つかったら、機器を隔離し、調査を依頼し、Barracuda Supportに連絡します。機器が保持する管理者のパスワード、連携先（ディレクトリ、メールサーバー、APIなど）の資格情報、証明書は入れ替え対象として扱います（当サイトの補足）。何も見つからなくても、確認した範囲と期間を記録に残します。

悪用状況

Barracudaは勧告で、少数の組織に影響する悪用を確認したと書いています（11月9日に追記）。
CISAは2026年11月10日にKEVへ追加し、対応期限を11月13日としました（KEVの版 2026.11.10）。追加から期限までは3日です。
KEVの記録では、フォレンジックの確認は両方のCVEで「Yes」です。ランサムウェアでの利用は「Unknown（不明）」です。
CVEの記録に、CISAの評価が追記されています。CVE-2026-116606は悪用あり・自動化可能・影響は全面的、CVE-2026-111560は悪用あり・自動化不可・影響は全面的です。
NVDの状態は、どちらも Undergoing Analysis（分析中）で、CVSSは調査会社が付けた値が載っています。
攻撃の規模・手口・攻撃者についての公開情報は、確認できませんでした。
Barracuda ESGは過去にもKEVに載っています。CVE-2023-2868が2023年5月26日に追加されました。今回とは別の脆弱性です。

当サイトの視点：「認証が要る」より「管理画面に届く」を見る

CVE-2026-111560だけを見ると、管理者の認証が要る脆弱性なので、優先度を下げたくなります。ところが、CVE-2026-116606が認証なしで機器の設定に手を入れられるため、2つを合わせると「管理画面に届けば足りる」状態になります。

守る側が見るべきは、脆弱性ごとの認証の要否より、管理画面にどこから届くかです。管理画面を内部ネットワークに限る対策は、今回の2つに効くだけでなく、次に見つかる同種の欠陥にも効きます。更新と合わせて、管理画面の到達範囲をここで恒久的に絞ってください（外に出ている機器の守り方）。

出典

Barracuda — Pre-Authentication Authorization Bypass and Command Injection Vulnerabilities in Certain Barracuda Products（11月2日公開、11月5日・9日更新。対象製品・パッチ・ガイダンス・悪用の確認）
調査会社の報告 — CVE-2026-116606のアドバイザリ／ CVE-2026-111560のアドバイザリ（影響版の範囲）
CVE.org — CVE-2026-116606 ／ CVE-2026-111560（11月2日公開。CISAの追記を含む）
NVD — CVE-2026-116606 ／ CVE-2026-111560（Undergoing Analysis）
CISA KEV — CVE-2026-116606 ／ CVE-2026-111560（11月10日追加・期限11月13日。過去のESGのエントリも同カタログで確認）
CISA — BOD 26-04 実施ガイダンス（フォレンジックの確認手順）（米国の連邦機関向けの指針）

最終確認：2026年11月11日。

まとめ

Barracuda ESGの認証回避（CVE-2026-116606）と、6製品のOSコマンド実行（CVE-2026-111560）は組み合わせられ、root権限に至り得る。どちらも管理画面への到達が前提。
修正はパッチ番号で案内され、自動で適用されなければ手動で適用する。更新の代わりになる回避策はなく、管理画面を内部ネットワークに限るのが案内されている手当て。
Barracudaは少数の組織への悪用を確認。KEVに11月10日追加で、期限は3日後の11月13日、フォレンジックの確認が必要。
手順は、管理画面を絞る、証拠を保全する、更新する、侵害の痕跡を確かめる。勧告に侵害の確認方法はないので、記録と点検は自分で行う。

次に読む

実務：脆弱性対応の実務手順／資産棚卸しチェックリスト
判断：CVSS・EPSS・KEVで優先順位を決める
外に出ている機器：VPN機器とリモートアクセスの守り方／悪用が確認された境界機器の脆弱性まとめ（2026年10月中旬）
用語：CVSSとは

よくある質問

QCVE-2026-116606とCVE-2026-111560は、それぞれ何ですか？

CVE-2026-116606は、Barracuda Email Security Gateway（ESG）の認証回避（CWE-288）です。CVEの記録では、認証されていないリモートの攻撃者が設定のインポート機能を呼び出し、機器の全体設定を書き換えられると説明されています。CVE-2026-111560は、ESG・Load Balancer ADC・Message Archiver・WAF Control Center・Web Application Firewall・Web Security Gatewayにあるタイムゾーン設定欄のOSコマンドインジェクション（CWE-78）で、認証済みの管理者がroot権限でコマンドを実行できます。Barracudaの勧告とKEVは、2つを組み合わせられると説明しています。

Qどの製品と版が対象で、修正は何ですか？

Barracudaの勧告は、修正をパッチ番号で示しています。ESGはBNSF-40425（9.4.017以降）とBNSF-40430（9.4.017より前）、Load Balancer ADCとWAFはBNADC-16586、Message ArchiverはBNMA-32468、WAF Control CenterはBNWF-60060、Web Security GatewayはBNYF-24789です。CVE-2026-116606の影響を受けるのはESGだけで、CVE-2026-111560は6製品すべてが対象です。CVEの記録では、ESGの9.4.0.030より前（CVE-2026-116606）と9.4.0.27以前（CVE-2026-111560）などが影響版とされています。版の表記は出所で形式が違うため、機器に表示される最新版と照らして確認してください。

Q修正は自動で適用されますか？

勧告は、自動で適用されなかったパッチは手動で適用し、自動パッチを切っている場合は自動で受け取る設定に戻すよう推奨しています。自動適用の時期や、適用済みかを確かめる手段の詳細は、勧告に書かれていません。機器が表示する最新のファームウェア版と、パッチが適用済みかを自分で確認してください。手動の手順はBarracuda Campusに案内があります。

Q回避策はありますか？

勧告は、更新の代わりになる回避策を示していません。ガイダンスとして、管理画面（Admin UI）を信頼できる内部ネットワークに限り、アクセス制御で到達範囲を絞るよう推奨しています。これは露出を減らす手当てで、更新の代わりにはなりません。

Q侵害されたかどうかは、どう確かめますか？

Barracudaの勧告には、侵害の確認方法が書かれていません。KEVは両方のCVEでフォレンジックの確認を「Yes」としており、CISAは、更新の前に証拠を集め、更新し、封じ込めと分析で侵害の有無を判断する手順を示しています（連邦機関向けの指針ですが、参考にできます）。当サイトの補足として、管理者のログイン履歴、設定の変更と復元の記録、想定外の設定値、機器からの外向き通信を確かめてください。

Qすでに悪用されていますか？

はい。Barracudaは勧告で、少数の組織で悪用を確認したと書いています（11月9日に追記）。CISAは11月10日にKEVへ追加し、CVEの記録にはCISAの評価（悪用あり・自動化可能・影響は全面的）が付いています。ランサムウェアでの利用は、KEVの記録では「Unknown（不明）」です。攻撃の規模や手口は、公開情報から確認できませんでした。