Разбор двух уязвимостей в Barracuda Email Security Gateway (ESG, устройство, отсеивающее во входящей почте спам и вредоносные программы) и других продуктах Barracuda, при которых атакующий с доступом к административному интерфейсу может захватить устройство. Охват и исправления описаны со стороны защиты, без способов атаки.
- CVE
- CVE-2026-116606 (обход аутентификации) и CVE-2026-111560 (внедрение команд ОС)
- Тяжесть
- 116606: CVSS v4.0 9.3 (Critical в записи CVE; бюллетень Barracuda указывает High) / 111560: CVSS v4.0 8.6 (High)
- Тип
- 116606: обход аутентификации (CWE-288); функцию импорта конфигурации можно вызвать без аутентификации и изменить глобальную конфигурацию / 111560: внедрение команд ОС (CWE-78) в поле настройки часового пояса; команды выполняются с правами root
- Условия
- 116606: аутентификация не нужна, но административный интерфейс должен быть доступен (бюллетень исправлен 5 ноября) / 111560: нужна аутентификация администратора. Эти две уязвимости можно связать в цепочку
- Затронуто
- 116606: ESG / 111560: ESG, Load Balancer ADC, Message Archiver (BMA), WAF Control Center (WCC), Web Application Firewall (WAF), Web Security Gateway (WSG)
- Исправление
- Указано в виде идентификаторов патчей (ESG: BNSF-40425 / BNSF-40430). Если патч не применился автоматически, примените вручную
- Опубликовано
- Бюллетень Barracuda и CVE: 2 ноября 2026 года
- Эксплуатация
- Barracuda сообщает об эксплуатации, затронувшей небольшое число организаций. Внесены в CISA KEV 10 ноября 2026 года (срок — 13 ноября). Требуется криминалистический разбор
Чем опасно бездействие
Во многих развёртываниях ESG стоит там, где проходит входящая почта, и, как правило, хранит маршрутизацию почты, настройки пересылки и учётные данные подключённых систем. Изменение его глобальной конфигурации или получение root затрагивает содержимое и поток вашей почты. Barracuda сообщает, что видела эксплуатацию, а CISA оценивает эксплуатацию как активную.
Что это за уязвимости
Barracuda описывает обе в одном бюллетене. Там сказано, что для эксплуатации нужен доступ к административному интерфейсу затронутого продукта и что вместе эти уязвимости могут позволить атакующему обойти средства контроля авторизации и получить root на устройстве.
CVE-2026-116606 (только ESG)
- Тип: обход аутентификации (CWE-288)
- Неаутентифицированный атакующий может вызвать функцию импорта конфигурации и изменить глобальную конфигурацию
- Аутентификация не нужна, но административный интерфейс должен быть доступен
- CVSS v4.0 9.3
CVE-2026-111560 (шесть продуктов)
- Тип: внедрение команд ОС (CWE-78)
- Недостаточная проверка поля часового пояса позволяет администратору выполнять команды с правами root
- Нужна аутентификация администратора
- CVSS v4.0 8.6
Важно одно исправление. 5 ноября Barracuda изменила в CVE-2026-116606 поле «Authentication Required» с «Yes, administrative access» на «No (Administrative UI Access Required)» (наш перевод, не дословная цитата). Учётные данные не нужны, поэтому у устройства, административный интерфейс которого виден снаружи, это условие уже выполнено. По прочтению этого сайта, CVE-2026-111560 требует аутентифицированного администратора, но в сочетании с этим обходом она тоже ведёт к неаутентифицированному пути (в описании KEV цепочка тоже упоминается).
Barracuda не описывает шаги атаки и формат запроса, и этот сайт их тоже не описывает.
Охват
| Продукт | CVE-2026-116606 | CVE-2026-111560 | Патч (бюллетень Barracuda) |
|---|---|---|---|
| Email Security Gateway (ESG) | Затронут | Затронут | BNSF-40425 (9.4.017 и новее), BNSF-40430 (ранее 9.4.017) |
| Load Balancer ADC | Не затронут | Затронут | BNADC-16586 |
| Message Archiver (BMA) | Не затронут | Затронут | BNMA-32468 |
| WAF Control Center (WCC) | Не затронут | Затронут | BNWF-60060 |
| Web Application Firewall (WAF) | Не затронут | Затронут | BNADC-16586 |
| Web Security Gateway (WSG) | Не затронут | Затронут | BNYF-24789 |
- Бюллетень указывает исправления в виде идентификаторов патчей и не перечисляет диапазоны затронутых версий. Диапазоны затронутых версий приведены в записях CVE и в отчётах исследовательской компании. CVE-2026-116606: ESG ранее 9.4.0.030. CVE-2026-111560: ESG 9.4.0.27 и ранее, ADC 6.4.0 и ранее, WAF 11.0.1 и ранее, WSG 16.1.100.100 и ранее, BMA 5.5.4.0 и ранее, WCC 2.2.1 и ранее.
- Форматы версий в источниках различаются (например, 9.4.0.030 и 9.4.0.27), поэтому ориентируйтесь на последнюю версию прошивки, которую показывает устройство, и на статус патча.
- Barracuda сообщает, что устройству, отставшему на несколько версий, может понадобиться больше одного обновления, и что помочь может Barracuda Support.
- Единственная мера смягчения в бюллетене — ограничить административный интерфейс доверенными внутренними сетями. Настройки, заменяющей обновление, нет.
Как понять, затронуты ли вы
Найдите все устройства Barracuda
Не только ESG: затронуты также Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall и Web Security Gateway. Считайте физические, виртуальные и облачные экземпляры отдельно (чек-лист инвентаризации активов).
Проверьте, доступен ли административный интерфейс снаружи
Проверьте, виден ли административный интерфейс (Admin UI) из интернета или из недоверенных внутренних сетей. Barracuda сообщает, что организации, у которых административные интерфейсы не доступны публично, меньше подвержены этому пути атаки.
Проверьте версию прошивки и статус патча
Устройство показывает последнюю доступную версию прошивки. Проверьте, применился ли патч автоматически и не отключено ли автоматическое исправление.
Что сделать сегодня
Срок KEV — 13 ноября. Действуйте в таком порядке.
Ограничьте административный интерфейс (в первую очередь)
Как советует Barracuda, ограничьте административный интерфейс доверенными внутренними сетями и сузьте контролем доступа круг источников, которые могут к нему обращаться. Это можно сделать, не дожидаясь обновления.
Сохраните конфигурацию и журналы до обновления
Процедура CISA предписывает собирать доказательства до установки патча, поскольку патч может уничтожить следы. До обновления сохраните копию конфигурации устройства и журналов администрирования, аутентификации и обработки почты в другом месте и запишите, когда и кем они собраны (плейбук устранения уязвимостей).
Установите патч и убедитесь, что он применён
Установите патч из таблицы выше. Если он не применился автоматически, примените вручную; если вы отключали автоматическое исправление, снова настройте устройство на автоматическое получение патчей. Инструкции для ручной установки — на Barracuda Campus. После этого проверьте версию прошивки и статус патча, которые показывает устройство.
Проверьте признаки компрометации (криминалистика)
Бюллетень Barracuda не говорит, как проверять. Пункты ниже — собственное дополнение сайта.
- Добавленные или изменённые учётные записи администраторов, входы в административный интерфейс в необычное время или с неожиданных адресов.
- Записи об изменении конфигурации и её восстановлении (импорте), а также неожиданные значения настроек.
- Незнакомые изменения в маршрутизации почты, пересылке или настройках фильтров.
- Необычные исходящие подключения с устройства или неожиданные административные действия.
При любых подозрениях изолируйте устройство и смените учётные данные
Если вы нашли подозрительную активность, изолируйте устройство, привлеките специалистов по расследованию и свяжитесь с Barracuda Support. Считайте, что пароли администраторов, хранящиеся на устройстве, учётные данные подключённых систем (каталог, почтовые серверы, API) и сертификаты нужно заменить (дополнение этого сайта). Даже если вы ничего не нашли, запишите, что именно и за какой период вы проверяли.
Состояние эксплуатации
- Бюллетень Barracuda сообщает, что выявлена эксплуатация, затронувшая небольшое число организаций (добавлено 9 ноября).
- CISA внесла обе в KEV 10 ноября 2026 года со сроком 13 ноября (версия KEV 2026.11.10), то есть через три дня.
- В KEV криминалистический разбор (forensic triage) для обеих CVE — Yes. Использование в атаках с вымогателями — Unknown.
- В записях CVE есть оценка CISA: CVE-2026-116606 — активная эксплуатация, автоматизируема, полное техническое воздействие; CVE-2026-111560 — активная эксплуатация, не автоматизируема, полное техническое воздействие.
- В NVD обе имеют статус Undergoing Analysis, значения CVSS присвоены исследовательской компанией.
- Масштаб, методы и участников по открытой информации подтвердить не удалось.
- Barracuda ESG уже попадал в KEV: CVE-2023-2868 добавлена 26 мая 2023 года. Это другая уязвимость.
Мнение этого сайта: смотрите на то, доступен ли административный интерфейс, а не на то, нужна ли аутентификация
Глядя только на CVE-2026-111560, хочется снизить приоритет, потому что нужна аутентификация администратора. Но CVE-2026-116606 позволяет менять конфигурацию устройства без аутентификации, так что вместе условие сводится к простому: «административный интерфейс доступен».
Защитникам стоит смотреть не столько на то, требует ли каждая уязвимость аутентификации, сколько на то, откуда доступен административный интерфейс. Ограничение интерфейса внутренними сетями помогает и против этих двух уязвимостей, и против следующей такой же. Вместе с обновлением сделайте это ограничение постоянным (защита устройств, доступных из интернета).
Источники
- Barracuda — Pre-Authentication Authorization Bypass and Command Injection Vulnerabilities in Certain Barracuda Products (опубликовано 2 ноября, обновлено 5 и 9 ноября; затронутые продукты, патчи, рекомендации, подтверждённая эксплуатация)
- Отчёты исследовательской компании — бюллетень по CVE-2026-116606 / бюллетень по CVE-2026-111560 (диапазоны затронутых версий)
- CVE.org — CVE-2026-116606 / CVE-2026-111560 (опубликовано 2 ноября, включает добавления CISA)
- NVD — CVE-2026-116606 / CVE-2026-111560 (Undergoing Analysis)
- CISA KEV — CVE-2026-116606 / CVE-2026-111560 (добавлены 10 ноября, срок 13 ноября; прежняя запись по ESG находится в том же каталоге)
- CISA — BOD 26-04 implementation guidance (forensic triage steps) (написано для федеральных агентств США)
Последняя проверка: 11 ноября 2026 года.
Читайте далее
- Практика: Плейбук устранения уязвимостей / Чек-лист инвентаризации активов
- Решение: Приоритизация по CVSS, EPSS и KEV
- Устройства, доступные из интернета: Как защитить VPN-устройства и удалённый доступ / Эксплуатируемые уязвимости периферийных устройств, середина октября 2026
- Термины: Что такое CVSS?