跳到正文
ITDWeb 安全平台
ITD
搜索

威胁动态

严重CVSS9.3#CVE-2026-116606#CVE-2026-111560#Barracuda#Email Security Gateway#认证绕过#操作系统命令注入#KEV#邮件安全

CVE-2026-116606 与 CVE-2026-111560 — Barracuda Email Security Gateway 认证绕过与操作系统命令注入：解析与对策（已列入 KEV，期限为11月13日，需要检查是否被入侵）

CVE-2026-116606 让能访问 Barracuda ESG 管理界面的攻击者无需登录即可更改设置；与 CVE-2026-111560 结合可获得 root。已列入 KEV，期限11月13日。

发布于 2026-11-11 更新于 2026-11-11 最后核实 2026-11-11 4 分钟阅读
本页目录

这是一篇针对 Barracuda Email Security Gateway（ESG，对进入的邮件进行垃圾邮件和恶意软件筛查的设备）及其他 Barracuda 产品中两个漏洞的解析：能够访问管理界面的攻击者可以接管设备。本文以防御视角说明范围和修复，不涉及如何攻击。

速览 — ADVISORY / KEV / FORENSICS
CVE
CVE-2026-116606（认证绕过）和 CVE-2026-111560（操作系统命令注入）
严重度
116606：CVSS v4.0 9.3（CVE 记录中为 Critical；Barracuda 的公告称 High）/ 111560：CVSS v4.0 8.6（High）
类型
116606：认证绕过（CWE-288）；无需认证即可调用配置导入功能，更改全局配置 / 111560：时区配置字段中的操作系统命令注入（CWE-78）；命令以 root 身份运行
前提条件
116606：无需认证，但管理界面必须可被访问（公告已于11月5日更正）/ 111560：需要管理员认证。两者可以串联
受影响
116606：ESG / 111560：ESG、Load Balancer ADC、Message Archiver（BMA）、WAF Control Center（WCC）、Web Application Firewall（WAF）、Web Security Gateway（WSG）
修复
以补丁编号给出（ESG：BNSF-40425 / BNSF-40430）。如果没有自动应用，请手动应用
发布
Barracuda 公告和 CVE：2026年11月2日
利用情况
Barracuda 报告利用已影响少数组织。2026年11月10日列入 CISA KEV（期限为11月13日）。需要取证分诊
3 天
从列入 KEV 到期限
9.3
CVE-2026-116606（CVSS v4.0）
root
两者串联时的权限
11月13日
KEV 期限

放任不管的风险

在许多部署中，ESG 被放在进入邮件经过的位置，通常保存着邮件路由、转发设置以及所连接系统的凭据。更改其全局配置或获得 root，就能触及您邮件的内容和流向。Barracuda 称已看到利用，CISA 则评估为正在被积极利用。

这是什么样的漏洞

Barracuda 在一份公告中同时涵盖了两者。它称，利用需要能访问受影响产品的管理界面，两个漏洞结合起来，攻击者可能绕过授权控制并在设备上获得 root。

CVE-2026-116606（仅限 ESG）

  • 类型：认证绕过（CWE-288）
  • 未经认证的攻击者可以调用配置导入功能，更改全局配置
  • 无需认证，但管理界面必须可被访问
  • CVSS v4.0 9.3

CVE-2026-111560（六款产品）

  • 类型：操作系统命令注入（CWE-78）
  • 对时区字段的检查不足，使管理员能以 root 身份运行命令
  • 需要管理员认证
  • CVSS v4.0 8.6

有一处更正很重要。11月5日，Barracuda 把 CVE-2026-116606 的「Authentication Required」字段从 Yes, administrative access 改为 No (Administrative UI Access Required)（此为我们的翻译，不是原文引用）。无需凭据，所以在管理界面从外部可见的设备上，前提条件已经满足。按本站的理解，CVE-2026-111560 需要已认证的管理员，但与这个绕过结合后，它也连通了未经认证的路径（KEV 的描述也提到了这种串联）。

Barracuda 没有描述攻击步骤或请求格式，本站也不描述。

范围

产品CVE-2026-116606CVE-2026-111560补丁（Barracuda 公告）
Email Security Gateway（ESG）受影响受影响BNSF-40425（9.4.017 及更高）、BNSF-40430（早于 9.4.017）
Load Balancer ADC不受影响受影响BNADC-16586
Message Archiver（BMA）不受影响受影响BNMA-32468
WAF Control Center（WCC）不受影响受影响BNWF-60060
Web Application Firewall（WAF）不受影响受影响BNADC-16586
Web Security Gateway（WSG）不受影响受影响BNYF-24789
  • 公告以补丁编号给出修复，没有列出受影响的版本范围。受影响的版本范围见 CVE 记录和研究机构的报告。CVE-2026-116606：ESG 早于 9.4.0.030。CVE-2026-111560：ESG 9.4.0.27 及更早、ADC 6.4.0 及更早、WAF 11.0.1 及更早、WSG 16.1.100.100 及更早、BMA 5.5.4.0 及更早、WCC 2.2.1 及更早。
  • 各来源的版本格式不同（例如 9.4.0.030 和 9.4.0.27），所以请以设备显示的最新固件版本及其补丁状态为准来判断。
  • Barracuda 称，落后好几个版本的设备可能需要不止一次更新，Barracuda Support 可以提供帮助。
  • 公告给出的唯一缓解措施是把管理界面限制在受信任的内部网络。没有任何设置可以代替更新。

如何确认自己是否受影响

1

找出所有 Barracuda 设备

不只是 ESG：Load Balancer ADC、Message Archiver、WAF Control Center、Web Application Firewall 和 Web Security Gateway 也受影响。物理、虚拟和云实例请分别统计（资产清点清单）。

2

确认管理界面能否从外部访问

检查管理界面（Admin UI）能否从互联网或不受信任的内部网络看到。Barracuda 称，管理界面不对公众开放的组织，在这条攻击路径上的暴露程度较低。

3

确认固件版本和补丁状态

设备会显示可用的最新固件版本。请确认补丁是否已自动应用，以及自动打补丁没有被关闭。

今天该做什么

KEV 的期限是11月13日。请按以下顺序进行。

1

限制管理界面的访问（首先）

按 Barracuda 的建议，把管理界面限制在受信任的内部网络，并用访问控制限制能到达它的来源。这一步不必等更新就可以做。

2

更新前保全配置和日志

CISA 的流程是先收集证据再打补丁，因为打补丁可能破坏痕迹。更新前，请把设备配置以及管理、认证和邮件处理日志另存一份到别处，并记录收集的时间和执行者（漏洞响应实务手册）。

3

应用补丁并确认已应用

应用上表中的补丁。如果没有自动应用，请手动应用；如果您曾关闭自动打补丁，请把设备重新设为自动接收补丁。手动操作说明在 Barracuda Campus 上。之后请确认设备显示的固件版本和补丁状态。

4

检查是否有被入侵的迹象（取证）

Barracuda 的公告没有说明检查方法。下面几点是本站自己的补充。

  • 新增或被更改的管理员账户，以及来自意外时间或来源的管理界面登录。
  • 配置变更和配置恢复（导入）的记录，以及任何意外的设置值。
  • 邮件路由、转发或过滤设置中不熟悉的更改。
  • 设备异常的出站连接，或意外的管理操作。
5

发现可疑情况时，隔离设备并轮换凭据

如果发现可疑活动，请隔离设备，请调查人员介入，并联系 Barracuda Support。设备上保存的管理员密码、所连接系统（目录服务、邮件服务器、API）的凭据以及证书，都应视为需要更换（本站的补充）。即使什么也没发现，也请记录检查了什么、检查了哪段期间。

利用情况

  • Barracuda 的公告称已发现利用影响了少数组织（11月9日补充）。
  • CISA 于2026年11月10日把两者列入 KEV，期限为三天后的11月13日（KEV 版本 2026.11.10）。
  • 在 KEV 中，两个 CVE 的取证分诊都是 Yes。勒索软件使用情况为 Unknown。
  • CVE 记录中附有 CISA 的评估：CVE-2026-116606 为 actively exploited、automatable、total technical impact；CVE-2026-111560 为 actively exploited、not automatable、total technical impact。
  • NVD 将两者都显示为 Undergoing Analysis，CVSS 值由研究机构给出。
  • 规模、手法或行为者无法通过公开信息确认。
  • Barracuda ESG 以前也列入过 KEV：CVE-2023-2868 于2023年5月26日列入。那是另一个漏洞。

本站的观点：要看管理界面能否被访问，而不是是否需要认证

只看 CVE-2026-111560，容易因为它需要管理员认证而降低优先级。但 CVE-2026-116606 可以在不认证的情况下更改设备的配置，所以合起来，条件就简化为「管理界面可被访问」。

防御方更应该关注的是管理界面能从哪里被访问，而不是每个漏洞是否需要认证。把管理界面限制在内部网络，既能防住这两个漏洞，也能防住下一个同类漏洞。在更新的同时，请把这项限制固定下来（防御暴露的设备）。

信息来源

最后确认：2026年11月11日。

延伸阅读

FAQ

QCVE-2026-116606 和 CVE-2026-111560 是什么？
A

CVE-2026-116606 是 Barracuda Email Security Gateway（ESG）中的认证绕过（CWE-288）。CVE 记录称，未经认证的远程攻击者可以调用配置导入功能，更改设备的全局配置。CVE-2026-111560 是 ESG、Load Balancer ADC、Message Archiver、WAF Control Center、Web Application Firewall 和 Web Security Gateway 的时区配置字段中的操作系统命令注入（CWE-78）；已认证的管理员可以以 root 身份运行命令。Barracuda 的公告和 KEV 条目称，两者可以串联。

Q哪些产品和版本受影响，修复方式是什么？
A

Barracuda 的公告以补丁编号给出修复。ESG：BNSF-40425（9.4.017 及更高）和 BNSF-40430（早于 9.4.017）。Load Balancer ADC 和 WAF：BNADC-16586。Message Archiver：BNMA-32468。WAF Control Center：BNWF-60060。Web Security Gateway：BNYF-24789。CVE-2026-116606 只影响 ESG，而 CVE-2026-111560 影响全部六款产品。CVE 记录列出的版本范围包括：ESG 早于 9.4.0.030（CVE-2026-116606）和 9.4.0.27 及更早（CVE-2026-111560）等。各来源的版本格式不同，所以请以设备自身显示的最新版本为准进行核对。

Q修复会自动应用吗？
A

公告称，如果补丁没有自动应用，您应当手动应用；如果您关闭了自动打补丁，Barracuda 建议重新开启。公告没有说明自动补丁何时送达，也没有说明如何确认已应用。请自行查看设备显示的最新固件版本和补丁状态；手动操作说明在 Barracuda Campus 上。

Q有临时办法吗？
A

公告没有给出可以代替更新的临时办法。它的指引是通过网络访问控制，把管理界面（Admin UI）的访问限制在受信任的内部网络中。这能降低暴露面，但不能代替补丁。

Q如何确认自己是否被入侵？
A

Barracuda 的公告没有说明检查方法。KEV 对两个 CVE 都将取证分诊标为 Yes，CISA 的指引是在更新之前先收集证据，然后打补丁，再进行遏制和分析（面向美国联邦机构编写，但可作为有用的参考）。作为本站自己的补充，请检查管理员登录记录、配置变更和恢复的记录、意外的设置值，以及设备的出站连接。

Q已经被利用了吗？
A

是的。Barracuda 的公告称已发现利用影响了少数组织（11月9日补充）。CISA 于11月10日将两者列入 KEV，CVE 记录中附有 CISA 的评估（active exploitation、automatable、total technical impact）。KEV 将勒索软件使用情况记为 Unknown。规模和手法无法通过公开信息确认。