Barracuda повідомила про експлуатацію критичних вразливостей ESG
Barracuda заявила про експлуатацію двох критичних вразливостей ESG, які можуть надати зловмисникам root-доступ до пристроїв.
Компанія Barracuda Networks повідомила про експлуатацію двох критичних вразливостей у пристроях Email Security Gateway (ESG). У разі спільного використання цих недоліків зловмисники можуть обійти механізми авторизації та отримати root-доступ до пристрою, пише BleepingComputer.
Вразливості мають ідентифікатори CVE-2026-116606 та CVE-2026-111560. Першу пов’язують із слабкістю автентифікації в ESG, яка дає змогу змінювати глобальну конфігурацію пристрою. Друга дозволяє неавторизованому користувачу впроваджувати команди операційної системи, що виконуються з root-привілеями.
Доступ до адміністративного інтерфейсу
У Barracuda зазначили, що для успішної експлуатації обох вразливостей потрібен доступ до адміністративного інтерфейсу цільового пристрою. Компанія порадила обмежити доступ до Admin UI лише довіреними внутрішніми мережами та застосовувати засоби контролю мережевого доступу.
Виробник випустив оновлення безпеки тиждень тому, а згодом попередив, що виявив активність з експлуатації вразливостей проти невеликої кількості організацій. Barracuda заявила, що розпочала процес усунення проблеми та надала виправлення для уражених продуктів.
Оновлення для шести продуктів
Обидві вразливості стосуються Email Security Gateway. Для пристроїв ESG доступні патчі BNSF-40425 для версії 9.4.017 і новіших та BNSF-40430 для версій нижче 9.4.017. CVE-2026-111560 також впливає на Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall і Web Security Gateway.
Barracuda закликала клієнтів якнайшвидше встановити оновлення, якщо вони не були застосовані автоматично. Організаціям, які вимкнули автоматичне оновлення, компанія рекомендувала налаштувати пристрої на автоматичне отримання патчів.
