위협 피드

위험CVSS9.3#CVE-2026-116606 #CVE-2026-111560 #Barracuda #Email Security Gateway #인증 우회 #OS 명령 주입 #KEV #이메일 보안

CVE-2026-116606 및 CVE-2026-111560 — Barracuda Email Security Gateway의 인증 우회와 OS 명령 주입: 해설과 대책(KEV 등재, 기한 11월 13일, 침해 확인 필요)

CVE-2026-116606은 Barracuda ESG 관리 UI에 닿는 공격자가 로그인 없이 설정을 바꿀 수 있고, CVE-2026-111560과 연쇄되면 root가 됩니다. KEV 등재, 기한 11월 13일.

게시 2026-11-11 업데이트 2026-11-11 최종 확인 2026-11-11 9분 읽기

이 페이지에서

수신 메일의 스팸과 악성코드를 거르는 어플라이언스인 Barracuda Email Security Gateway(ESG)를 비롯한 Barracuda 제품에서, 관리 인터페이스에 닿을 수 있는 공격자가 장비를 장악할 수 있는 두 취약점의 해설입니다. 영향 범위와 수정을 방어하는 쪽의 관점에서 다루며, 공격 방법은 적지 않습니다.

요약 — 권고 / KEV / 포렌식

CVE: CVE-2026-116606(인증 우회)과 CVE-2026-111560(OS 명령 주입)
심각도: 116606: CVSS v4.0 9.3 (CVE 레코드는 Critical, Barracuda 권고는 High) / 111560: CVSS v4.0 8.6 (High)
유형: 116606: 인증 우회(CWE-288). 인증 없이 구성 가져오기 기능을 호출해 전역 설정을 바꿀 수 있음 / 111560: 시간대 설정 필드의 OS 명령 주입(CWE-78). 명령이 root로 실행됨
전제 조건: 116606: 인증 불필요, 단 관리 인터페이스에 닿을 수 있어야 함(권고는 11월 5일 정정) / 111560: 관리자 인증 필요. 둘은 연쇄될 수 있음
영향 대상: 116606: ESG / 111560: ESG, Load Balancer ADC, Message Archiver(BMA), WAF Control Center(WCC), Web Application Firewall(WAF), Web Security Gateway(WSG)
수정: 패치 ID로 제시됨(ESG: BNSF-40425 / BNSF-40430). 자동으로 적용되지 않았다면 수동으로 적용
공개: Barracuda 권고와 CVE: 2026년 11월 2일
악용: Barracuda는 소수 조직에 영향을 준 악용을 보고함. 2026년 11월 10일 CISA KEV에 추가(기한 11월 13일). 포렌식 분류 필요

3일

KEV 등재부터 기한까지

9.3

CVE-2026-116606 (CVSS v4.0)

root

둘이 연쇄될 때의 권한

11월 13일

KEV 기한

결론

시간은 사흘입니다. 관리 인터페이스를 닫고, 증거를 보존하고, 패치한 뒤, 침해 여부를 확인하세요

두 결함은 연쇄될 수 있고, 성공하면 어플라이언스의 root를 얻을 수 있습니다. ESG는 대체로 메일 경로에 놓이므로 장악이 장비 안에 머물지 않습니다. CISA는 두 건을 사흘 기한으로 KEV에 등재하고 업데이트와 함께 포렌식 확인을 요구했습니다. 패치를 적용하는 것으로 작업이 끝났다고 여기지 마세요.

영향받는 장비(ESG, ADC, BMA, WCC, WAF, WSG)를 파악하고 관리 인터페이스를 내부 네트워크로 제한하세요.
업데이트하면 정보가 사라질 수 있으므로 먼저 설정과 로그를 저장하세요.
패치를 적용하고 장비에서 적용되었는지 확인하세요.
관리자 계정, 설정 변경과 복원, 외부로 나가는 접속을 점검하세요.

방치할 때의 위험

많은 환경에서 ESG는 수신 메일이 지나가는 곳에 놓이며, 메일 라우팅, 전달 설정, 연동된 시스템의 자격 증명을 보유하는 것이 일반적입니다. 전역 설정이 바뀌거나 root를 빼앗기면 메일의 내용과 흐름에까지 영향이 미칩니다. Barracuda는 악용을 확인했다고 밝혔고, CISA는 악용이 활발하다고 평가합니다.

어떤 취약점인가

Barracuda는 두 건을 하나의 권고로 다룹니다. 권고에 따르면 악용하려면 영향받는 제품의 관리 인터페이스에 접근할 수 있어야 하며, 둘을 합치면 공격자가 권한 부여 통제를 우회해 장비의 root를 얻을 수 있습니다.

CVE-2026-116606(ESG만)

유형: 인증 우회(CWE-288)
인증 없는 공격자가 구성 가져오기 기능을 호출해 전역 설정을 바꿀 수 있음
인증은 필요 없지만 관리 인터페이스에 닿을 수 있어야 함
CVSS v4.0 9.3

CVE-2026-111560(여섯 제품)

유형: OS 명령 주입(CWE-78)
시간대 필드 검사가 불충분해 관리자가 root로 명령을 실행할 수 있음
관리자 인증 필요
CVSS v4.0 8.6

정정 하나가 중요합니다. 11월 5일 Barracuda는 CVE-2026-116606의 "Authentication Required" 항목을 "Yes, administrative access"에서 "No (Administrative UI Access Required)"로 바꿨습니다(원문 인용이 아닌 본 사이트의 번역). 자격 증명이 필요 없으므로, 관리 인터페이스가 외부에서 보이는 장비는 전제 조건이 이미 충족된 셈입니다. 본 사이트의 해석으로는 CVE-2026-111560은 인증된 관리자가 필요하지만, 이 우회와 결합하면 인증 없는 경로에도 이어집니다(KEV의 설명도 연쇄를 언급합니다).

Barracuda는 공격 절차나 요청 형식을 밝히지 않으며 본 사이트도 밝히지 않습니다.

영향 범위

제품	CVE-2026-116606	CVE-2026-111560	패치(Barracuda 권고)
Email Security Gateway (ESG)	영향 있음	영향 있음	BNSF-40425(9.4.017 이상), BNSF-40430(9.4.017 미만)
Load Balancer ADC	영향 없음	영향 있음	BNADC-16586
Message Archiver (BMA)	영향 없음	영향 있음	BNMA-32468
WAF Control Center (WCC)	영향 없음	영향 있음	BNWF-60060
Web Application Firewall (WAF)	영향 없음	영향 있음	BNADC-16586
Web Security Gateway (WSG)	영향 없음	영향 있음	BNYF-24789

권고는 수정을 패치 ID로 제시하며 영향받는 버전 범위는 싣지 않습니다. 영향받는 버전 범위는 CVE 레코드와 조사 업체의 보고서에 있습니다. CVE-2026-116606: ESG 9.4.0.030 미만. CVE-2026-111560: ESG 9.4.0.27 이하, ADC 6.4.0 이하, WAF 11.0.1 이하, WSG 16.1.100.100 이하, BMA 5.5.4.0 이하, WCC 2.2.1 이하.
버전 표기가 출처마다 다르므로(예: 9.4.0.030과 9.4.0.27), 장비가 표시하는 최신 펌웨어 버전과 패치 상태로 판단하세요.
Barracuda는 여러 버전 뒤처진 장비는 업데이트가 한 번 이상 필요할 수 있으며 Barracuda Support가 도울 수 있다고 밝히고 있습니다.
권고가 제시하는 유일한 완화책은 관리 인터페이스를 신뢰할 수 있는 내부 네트워크로 제한하는 것입니다. 업데이트를 대신하는 설정은 없습니다.

영향 여부를 판단하는 방법

Barracuda 장비를 모두 찾기

ESG만이 아닙니다. Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall, Web Security Gateway도 영향을 받습니다. 물리, 가상, 클라우드 인스턴스를 따로 세세요(자산 목록 체크리스트).

관리 인터페이스가 외부에서 닿는지 확인

관리 인터페이스(Admin UI)가 인터넷이나 신뢰할 수 없는 내부 네트워크에서 보이는지 확인하세요. Barracuda는 관리 인터페이스가 공개되어 있지 않은 조직은 이 공격 경로의 노출이 더 적다고 밝히고 있습니다.

펌웨어 버전과 패치 상태 확인

장비는 적용 가능한 최신 펌웨어 버전을 표시합니다. 패치가 자동으로 적용되었는지, 자동 패치가 꺼져 있지 않은지 확인하세요.

오늘 해야 할 일

KEV 기한은 11월 13일입니다. 다음 순서로 진행하세요.

관리 인터페이스 제한(가장 먼저)

Barracuda의 안내대로 관리 인터페이스를 신뢰할 수 있는 내부 네트워크로 제한하고, 닿을 수 있는 출발지를 접근 제어로 좁히세요. 업데이트를 기다리지 않고도 할 수 있습니다.

업데이트 전에 설정과 로그 보존

CISA의 절차는 패치하면 흔적이 사라질 수 있으므로 패치 전에 증거를 수집하라고 합니다. 업데이트하기 전에 장비 설정과 관리, 인증, 메일 처리 로그를 다른 곳에 복사해 저장하고, 언제 누가 수집했는지 기록하세요(취약점 대응 플레이북).

패치를 적용하고 적용되었는지 확인

위 표의 패치를 적용하세요. 자동으로 적용되지 않았다면 수동으로 적용하고, 자동 패치를 꺼 두었다면 다시 자동으로 받도록 설정하세요. 수동 절차는 Barracuda Campus에 있습니다. 적용 후에는 장비가 표시하는 펌웨어 버전과 패치 상태를 확인하세요.

침해 징후 확인(포렌식)

Barracuda 권고는 확인 방법을 밝히지 않습니다. 아래 항목은 본 사이트가 독자적으로 덧붙인 것입니다.

추가되었거나 변경된 관리자 계정, 예상 밖의 시각이나 출발지에서의 관리 인터페이스 로그인.
설정 변경과 설정 복원(가져오기) 기록, 예상 밖의 설정값.
메일 라우팅, 전달, 필터 설정에서 낯선 변경.
어플라이언스에서 나가는 비정상적인 접속이나 예상 밖의 관리 작업.

수상한 점이 있으면 장비를 격리하고 자격 증명 교체

수상한 활동을 발견하면 장비를 격리하고, 조사 인력을 투입하고, Barracuda Support에 연락하세요. 장비가 보유한 관리자 비밀번호, 연동된 시스템(디렉터리, 메일 서버, API)의 자격 증명, 인증서는 교체가 필요하다고 보세요(본 사이트의 조언). 아무것도 발견하지 못했더라도 무엇을 어느 기간에 걸쳐 확인했는지 기록하세요.

악용 상황

Barracuda 권고는 소수 조직에 영향을 준 악용을 확인했다고 밝히고 있습니다(11월 9일 추가).
CISA가 2026년 11월 10일 두 건을 모두 KEV에 추가했으며 기한은 사흘 뒤인 11월 13일입니다(KEV 버전 2026.11.10).
KEV에서 포렌식 분류는 두 CVE 모두 Yes입니다. 랜섬웨어 사용 여부는 Unknown입니다.
CVE 레코드에 CISA의 평가가 실려 있습니다. CVE-2026-116606은 활발히 악용, 자동화 가능, 기술적 영향 total이고, CVE-2026-111560은 활발히 악용, 자동화 불가, 기술적 영향 total입니다.
NVD에서는 두 건 모두 Undergoing Analysis이며, CVSS 값은 조사 업체가 부여한 것입니다.
규모, 수법, 공격 주체는 공개 정보로는 확인하지 못했습니다.
Barracuda ESG는 전에도 KEV에 등재된 적이 있습니다. CVE-2023-2868이 2023년 5월 26일에 추가되었으며, 이는 다른 취약점입니다.

본 사이트의 견해: 인증이 필요한지가 아니라 관리 인터페이스에 닿을 수 있는지를 본다

CVE-2026-111560만 보면 관리자 인증이 필요하다는 이유로 우선순위를 낮추고 싶어집니다. 그러나 CVE-2026-116606은 인증 없이 장비의 설정을 바꿀 수 있으므로, 합치면 조건은 단순히 "관리 인터페이스에 닿을 수 있다"가 됩니다.

방어하는 쪽이 봐야 할 것은 각 결함이 인증을 요구하는지보다 관리 인터페이스가 어디에서 닿는지입니다. 관리 인터페이스를 내부 네트워크로 제한하면 이 두 건과 앞으로 나올 같은 종류의 결함에 모두 도움이 됩니다. 업데이트와 함께 그 제한을 상시 설정으로 굳히세요(노출된 장비 방어).

출처

Barracuda — Pre-Authentication Authorization Bypass and Command Injection Vulnerabilities in Certain Barracuda Products(11월 2일 공개, 11월 5일과 9일 갱신. 영향 제품, 패치, 안내, 확인된 악용)
조사 업체 보고서 — CVE-2026-116606 권고 / CVE-2026-111560 권고(영향받는 버전 범위)
CVE.org — CVE-2026-116606 / CVE-2026-111560(11월 2일 공개, CISA의 추가 포함)
NVD — CVE-2026-116606 / CVE-2026-111560(Undergoing Analysis)
CISA KEV — CVE-2026-116606 / CVE-2026-111560(11월 10일 추가, 기한 11월 13일. 앞선 ESG 항목도 같은 카탈로그에 있음)
CISA — BOD 26-04 implementation guidance (forensic triage steps)(미국 연방 기관 대상)

최종 확인: 2026년 11월 11일.

요약

Barracuda ESG의 인증 우회(CVE-2026-116606)와 여섯 제품의 OS 명령 주입(CVE-2026-111560)은 연쇄될 수 있고 root로 이어질 수 있습니다. 둘 다 관리 인터페이스에 닿을 수 있다는 것을 전제로 합니다.
수정은 패치 ID로 제시되며, 자동으로 적용되지 않았다면 수동으로 적용하세요. 업데이트를 대신하는 회피책은 없고, 권고의 완화책은 관리 인터페이스를 내부 네트워크로 제한하는 것입니다.
Barracuda는 소수 조직에 영향을 준 악용을 확인했습니다. 11월 10일 KEV에 추가되어 사흘 뒤인 11월 13일이 기한이며, 포렌식 확인이 필요합니다.
순서: 관리 인터페이스 제한, 증거 보존, 업데이트, 침해 확인. 권고에는 침해 확인 방법이 없으므로 기록과 점검은 직접 해야 합니다.

이어서 읽기

실천: 취약점 대응 플레이북 / 자산 목록 체크리스트
판단: CVSS, EPSS, KEV로 우선순위 정하기
노출된 장비: VPN 장비와 원격 접속을 방어하는 방법 / 악용된 엣지 장비 취약점, 2026년 10월 중순
용어: CVSS란?

FAQ

QCVE-2026-116606과 CVE-2026-111560은 무엇인가요?

CVE-2026-116606은 Barracuda Email Security Gateway(ESG)의 인증 우회(CWE-288)입니다. CVE 레코드에 따르면 인증 없는 원격 공격자가 구성 가져오기 기능을 호출해 장비의 전역 설정을 바꿀 수 있습니다. CVE-2026-111560은 ESG, Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall, Web Security Gateway의 시간대 설정 필드에 있는 OS 명령 주입(CWE-78)으로, 인증된 관리자가 root로 명령을 실행할 수 있습니다. Barracuda 권고와 KEV 항목은 둘을 연쇄시킬 수 있다고 밝히고 있습니다.

Q영향받는 제품과 버전, 수정 방법은 무엇인가요?

Barracuda 권고는 수정을 패치 ID로 제시합니다. ESG: BNSF-40425(9.4.017 이상)와 BNSF-40430(9.4.017 미만). Load Balancer ADC와 WAF: BNADC-16586. Message Archiver: BNMA-32468. WAF Control Center: BNWF-60060. Web Security Gateway: BNYF-24789. CVE-2026-116606은 ESG만 영향을 받고, CVE-2026-111560은 여섯 제품 모두 영향을 받습니다. CVE 레코드에는 ESG의 경우 9.4.0.030 미만(CVE-2026-116606), 9.4.0.27 이하(CVE-2026-111560) 등의 버전 범위가 기재되어 있습니다. 버전 표기가 출처마다 다르므로, 장비 자체가 표시하는 최신 버전을 기준으로 확인하세요.

Q수정은 자동으로 적용되나요?

권고는 패치가 자동으로 적용되지 않았다면 수동으로 적용하고, 자동 패치를 꺼 두었다면 다시 켜라고 Barracuda가 권장한다고 밝히고 있습니다. 자동 패치가 언제 도착하는지, 적용되었는지 어떻게 확인하는지는 설명하지 않습니다. 장비가 표시하는 최신 펌웨어 버전과 패치 상태를 직접 확인하세요. 수동 절차는 Barracuda Campus에 있습니다.

Q회피책이 있나요?

권고에는 업데이트를 대신하는 회피책이 없습니다. 안내는 관리 인터페이스(Admin UI) 접근을 네트워크 접근 제어로 신뢰할 수 있는 내부 네트워크로 제한하라는 것입니다. 노출은 줄어들지만 패치를 대신하지는 않습니다.

Q침해되었는지 어떻게 확인하나요?

Barracuda 권고는 확인 방법을 밝히지 않습니다. KEV는 두 CVE 모두 포렌식 분류를 Yes로 표시하며, CISA의 안내는 업데이트 전에 증거를 수집하고, 그다음 패치하고, 이어서 봉쇄와 분석을 하라는 것입니다(미국 연방 기관을 위한 것이지만 참고가 됩니다). 본 사이트가 독자적으로 덧붙이는 조언으로, 관리자 로그인 기록, 설정 변경과 복원 기록, 예상 밖의 설정값, 장비에서 나가는 접속을 확인하세요.

Q이미 악용되고 있나요?

네. Barracuda 권고는 소수 조직에 영향을 준 악용을 확인했다고 밝히고 있습니다(11월 9일 추가). CISA가 11월 10일 두 건을 모두 KEV에 추가했고, CVE 레코드에는 CISA의 평가(활발한 악용, 자동화 가능, 기술적 영향 total)가 실려 있습니다. KEV에서 랜섬웨어 사용 여부는 Unknown입니다. 규모와 수법은 공개 정보로는 확인하지 못했습니다.