跳至主要內容
ITD網站資安平台
ITD
搜尋

威脅情報

危急CVSS9.3#CVE-2026-116606#CVE-2026-111560#Barracuda#Email Security Gateway#認證繞過#作業系統命令注入#KEV#郵件安全

CVE-2026-116606 與 CVE-2026-111560 — Barracuda Email Security Gateway 認證繞過與作業系統命令注入：解析與對策（已列入 KEV，期限為11月13日，需要檢查是否被入侵）

CVE-2026-116606 讓能訪問 Barracuda ESG 管理介面的攻擊者無需登入即可更改設定；與 CVE-2026-111560 結合可獲得 root。已列入 KEV，期限11月13日。

發布於 2026-11-11 更新於 2026-11-11 最後核實 2026-11-11 閱讀時間 4 分鐘
本頁內容

這是一篇針對 Barracuda Email Security Gateway（ESG，對進入的郵件進行垃圾郵件和惡意軟體篩查的裝置）及其他 Barracuda 產品中兩個漏洞的解析：能夠訪問管理介面的攻擊者可以接管裝置。本文以防禦視角說明範圍和修復，不涉及如何攻擊。

速覽 — ADVISORY / KEV / FORENSICS
CVE
CVE-2026-116606（認證繞過）和 CVE-2026-111560（作業系統命令注入）
嚴重度
116606：CVSS v4.0 9.3（CVE 記錄中為 Critical；Barracuda 的公告稱 High）/ 111560：CVSS v4.0 8.6（High）
型別
116606：認證繞過（CWE-288）；無需認證即可呼叫配置匯入功能，更改全域性配置 / 111560：時區配置欄位中的作業系統命令注入（CWE-78）；命令以 root 身份執行
前提條件
116606：無需認證，但管理介面必須可被訪問（公告已於11月5日更正）/ 111560：需要管理員認證。兩者可以串聯
受影響
116606：ESG / 111560：ESG、Load Balancer ADC、Message Archiver（BMA）、WAF Control Center（WCC）、Web Application Firewall（WAF）、Web Security Gateway（WSG）
修復
以補丁編號給出（ESG：BNSF-40425 / BNSF-40430）。如果沒有自動應用，請手動應用
釋出
Barracuda 公告和 CVE：2026年11月2日
利用情況
Barracuda 報告利用已影響少陣列織。2026年11月10日列入 CISA KEV（期限為11月13日）。需要取證分診
3 天
從列入 KEV 到期限
9.3
CVE-2026-116606（CVSS v4.0）
root
兩者串聯時的許可權
11月13日
KEV 期限

放任不管的風險

在許多部署中，ESG 被放在進入郵件經過的位置，通常儲存著郵件路由、轉發設定以及所連線系統的憑據。更改其全域性配置或獲得 root，就能觸及您郵件的內容和流向。Barracuda 稱已看到利用，CISA 則評估為正在被積極利用。

這是什麼樣的漏洞

Barracuda 在一份公告中同時涵蓋了兩者。它稱，利用需要能訪問受影響產品的管理介面，兩個漏洞結合起來，攻擊者可能繞過授權控制並在裝置上獲得 root。

CVE-2026-116606（僅限 ESG）

  • 型別：認證繞過（CWE-288）
  • 未經認證的攻擊者可以呼叫配置匯入功能，更改全域性配置
  • 無需認證，但管理介面必須可被訪問
  • CVSS v4.0 9.3

CVE-2026-111560（六款產品）

  • 型別：作業系統命令注入（CWE-78）
  • 對時區欄位的檢查不足，使管理員能以 root 身份執行命令
  • 需要管理員認證
  • CVSS v4.0 8.6

有一處更正很重要。11月5日，Barracuda 把 CVE-2026-116606 的「Authentication Required」欄位從 Yes, administrative access 改為 No (Administrative UI Access Required)（此為我們的翻譯，不是原文引用）。無需憑據，所以在管理介面從外部可見的裝置上，前提條件已經滿足。按本站的理解，CVE-2026-111560 需要已認證的管理員，但與這個繞過結合後，它也連通了未經認證的路徑（KEV 的描述也提到了這種串聯）。

Barracuda 沒有描述攻擊步驟或請求格式，本站也不描述。

範圍

產品CVE-2026-116606CVE-2026-111560補丁（Barracuda 公告）
Email Security Gateway（ESG）受影響受影響BNSF-40425（9.4.017 及更高）、BNSF-40430（早於 9.4.017）
Load Balancer ADC不受影響受影響BNADC-16586
Message Archiver（BMA）不受影響受影響BNMA-32468
WAF Control Center（WCC）不受影響受影響BNWF-60060
Web Application Firewall（WAF）不受影響受影響BNADC-16586
Web Security Gateway（WSG）不受影響受影響BNYF-24789
  • 公告以補丁編號給出修復，沒有列出受影響的版本範圍。受影響的版本範圍見 CVE 記錄和研究機構的報告。CVE-2026-116606：ESG 早於 9.4.0.030。CVE-2026-111560：ESG 9.4.0.27 及更早、ADC 6.4.0 及更早、WAF 11.0.1 及更早、WSG 16.1.100.100 及更早、BMA 5.5.4.0 及更早、WCC 2.2.1 及更早。
  • 各來源的版本格式不同（例如 9.4.0.030 和 9.4.0.27），所以請以裝置顯示的最新韌體版本及其補丁狀態為準來判斷。
  • Barracuda 稱，落後好幾個版本的裝置可能需要不止一次更新，Barracuda Support 可以提供幫助。
  • 公告給出的唯一緩解措施是把管理介面限制在受信任的內部網路。沒有任何設定可以代替更新。

如何確認自己是否受影響

1

找出所有 Barracuda 裝置

不只是 ESG：Load Balancer ADC、Message Archiver、WAF Control Center、Web Application Firewall 和 Web Security Gateway 也受影響。物理、虛擬和雲例項請分別統計（資產清點清單）。

2

確認管理介面能否從外部訪問

檢查管理介面（Admin UI）能否從網際網路或不受信任的內部網路看到。Barracuda 稱，管理介面不對公眾開放的組織，在這條攻擊路徑上的暴露程度較低。

3

確認韌體版本和補丁狀態

裝置會顯示可用的最新韌體版本。請確認補丁是否已自動應用，以及自動打補丁沒有被關閉。

今天該做什麼

KEV 的期限是11月13日。請按以下順序進行。

1

限制管理介面的訪問（首先）

按 Barracuda 的建議，把管理介面限制在受信任的內部網路，並用訪問控制限制能到達它的來源。這一步不必等更新就可以做。

2

更新前保全配置和日誌

CISA 的流程是先收集證據再打補丁，因為打補丁可能破壞痕跡。更新前，請把裝置配置以及管理、認證和郵件處理日誌另存一份到別處，並記錄收集的時間和執行者（漏洞響應實務手冊）。

3

應用補丁並確認已應用

應用上表中的補丁。如果沒有自動應用，請手動應用；如果您曾關閉自動打補丁，請把裝置重新設為自動接收補丁。手動操作說明在 Barracuda Campus 上。之後請確認裝置顯示的韌體版本和補丁狀態。

4

檢查是否有被入侵的跡象（取證）

Barracuda 的公告沒有說明檢查方法。下面幾點是本站自己的補充。

  • 新增或被更改的管理員賬戶，以及來自意外時間或來源的管理介面登入。
  • 配置變更和配置恢復（匯入）的記錄，以及任何意外的設定值。
  • 郵件路由、轉發或過濾設定中不熟悉的更改。
  • 裝置異常的出站連線，或意外的管理操作。
5

發現可疑情況時，隔離裝置並輪換憑據

如果發現可疑活動，請隔離裝置，請調查人員介入，並聯系 Barracuda Support。裝置上儲存的管理員密碼、所連線系統（目錄服務、郵件伺服器、API）的憑據以及證書，都應視為需要更換（本站的補充）。即使什麼也沒發現，也請記錄檢查了什麼、檢查了哪段期間。

利用情況

  • Barracuda 的公告稱已發現利用影響了少陣列織（11月9日補充）。
  • CISA 於2026年11月10日把兩者列入 KEV，期限為三天後的11月13日（KEV 版本 2026.11.10）。
  • 在 KEV 中，兩個 CVE 的取證分診都是 Yes。勒索軟體使用情況為 Unknown。
  • CVE 記錄中附有 CISA 的評估：CVE-2026-116606 為 actively exploited、automatable、total technical impact；CVE-2026-111560 為 actively exploited、not automatable、total technical impact。
  • NVD 將兩者都顯示為 Undergoing Analysis，CVSS 值由研究機構給出。
  • 規模、手法或行為者無法透過公開資訊確認。
  • Barracuda ESG 以前也列入過 KEV：CVE-2023-2868 於2023年5月26日列入。那是另一個漏洞。

本站的觀點：要看管理介面能否被訪問，而不是是否需要認證

只看 CVE-2026-111560，容易因為它需要管理員認證而降低優先順序。但 CVE-2026-116606 可以在不認證的情況下更改裝置的配置，所以合起來，條件就簡化為「管理介面可被訪問」。

防禦方更應該關注的是管理介面能從哪裡被訪問，而不是每個漏洞是否需要認證。把管理介面限制在內部網路，既能防住這兩個漏洞，也能防住下一個同類漏洞。在更新的同時，請把這項限制固定下來（防禦暴露的裝置）。

資訊來源

最後確認：2026年11月11日。

延伸閱讀

FAQ

QCVE-2026-116606 和 CVE-2026-111560 是什麼？
A

CVE-2026-116606 是 Barracuda Email Security Gateway（ESG）中的認證繞過（CWE-288）。CVE 記錄稱，未經認證的遠端攻擊者可以呼叫配置匯入功能，更改裝置的全域性配置。CVE-2026-111560 是 ESG、Load Balancer ADC、Message Archiver、WAF Control Center、Web Application Firewall 和 Web Security Gateway 的時區配置欄位中的作業系統命令注入（CWE-78）；已認證的管理員可以以 root 身份執行命令。Barracuda 的公告和 KEV 條目稱，兩者可以串聯。

Q哪些產品和版本受影響，修復方式是什麼？
A

Barracuda 的公告以補丁編號給出修復。ESG：BNSF-40425（9.4.017 及更高）和 BNSF-40430（早於 9.4.017）。Load Balancer ADC 和 WAF：BNADC-16586。Message Archiver：BNMA-32468。WAF Control Center：BNWF-60060。Web Security Gateway：BNYF-24789。CVE-2026-116606 隻影響 ESG，而 CVE-2026-111560 影響全部六款產品。CVE 記錄列出的版本範圍包括：ESG 早於 9.4.0.030（CVE-2026-116606）和 9.4.0.27 及更早（CVE-2026-111560）等。各來源的版本格式不同，所以請以裝置自身顯示的最新版本為準進行核對。

Q修復會自動應用嗎？
A

公告稱，如果補丁沒有自動應用，您應當手動應用；如果您關閉了自動打補丁，Barracuda 建議重新開啟。公告沒有說明自動補丁何時送達，也沒有說明如何確認已應用。請自行檢視裝置顯示的最新韌體版本和補丁狀態；手動操作說明在 Barracuda Campus 上。

Q有臨時辦法嗎？
A

公告沒有給出可以代替更新的臨時辦法。它的指引是透過網路訪問控制，把管理介面（Admin UI）的訪問限制在受信任的內部網路中。這能降低暴露面，但不能代替補丁。

Q如何確認自己是否被入侵？
A

Barracuda 的公告沒有說明檢查方法。KEV 對兩個 CVE 都將取證分診標為 Yes，CISA 的指引是在更新之前先收集證據，然後打補丁，再進行遏制和分析（面向美國聯邦機構編寫，但可作為有用的參考）。作為本站自己的補充，請檢查管理員登入記錄、配置變更和恢復的記錄、意外的設定值，以及裝置的出站連線。

Q已經被利用了嗎？
A

是的。Barracuda 的公告稱已發現利用影響了少陣列織（11月9日補充）。CISA 於11月10日將兩者列入 KEV，CVE 記錄中附有 CISA 的評估（active exploitation、automatable、total technical impact）。KEV 將勒索軟體使用情況記為 Unknown。規模和手法無法透過公開資訊確認。