Почтовый шлюз, который должен защищать корпоративную переписку, сам может стать точкой входа для захвата устройства. 2 ноября Barracuda предупредила о двух уязвимостях в своих защитных продуктах. Совместное применение ошибок позволяет обойти проверку прав и получить доступ уровня root, то есть полный контроль над операционной системой устройства.
Первое звено цепочки, CVE-2026-116606, находится в Barracuda Email Security Gateway (ESG). Через ошибку авторизации посторонний пользователь может вызвать функцию импорта настроек и загрузить специально подготовленную резервную копию. В результате меняется общая конфигурация шлюза без разрешения администратора. Уязвимость получила 9,3 балла по CVSS 4.0.
Вторую уязвимость, CVE-2026-111560, обнаружили в обработке настройки часового пояса. Как уточнила Mandiant, система недостаточно очищает специальные символы, поэтому администратор может внедрить команды операционной системы. При последующей обработке параметра команды выполняются с привилегиями root. Ошибка получила 8,6 балла по CVSS 4.0.
По отдельности недостатки требуют разных условий. Для внедрения команд нужны права администратора, но уязвимость импорта настроек позволяет обойти авторизацию в ESG. При объединении двух методов злоумышленник потенциально проходит путь от доступа к веб-панели до выполнения произвольных команд с максимальными правами. Для такой атаки интерфейс управления должен быть доступен извне.
Ошибка обхода авторизации затрагивает только Email Security Gateway, а внедрение команд присутствует ещё в пяти продуктах Barracuda. В перечень входят Application Delivery Controller, Message Archiver, WAF Control Center, Web Application Firewall и Web Security Gateway. Для остальных устройств производитель описывает риск выполнения команд при наличии административных прав, без первой части цепочки.
Barracuda выпустила исправления для всех шести продуктов. В описании Mandiant уязвимыми названы версии ESG до 9.4.0.030, тогда как документация производителя указывает прошивку 9.4.0.029 как содержащую исправления. При таком расхождении следует проверить последнюю доступную версию прошивки и наличие всех необходимых патчей. Для остальных продуктов предусмотрены отдельные обновления.
Производитель советует закрыть административные интерфейсы от прямого доступа из интернета, ограничить управление доверенными внутренними сетями и проверить автоматическую установку патчей. Если устройство давно не обновляли, переход на актуальную прошивку может потребовать нескольких этапов. Публичных подтверждений эксплуатации новых уязвимостей в реальных атаках пока нет.
Для Barracuda ESG угроза захвата не стала первой. В 2023 году после эксплуатации другой уязвимости и обнаружения вредоносного ПО компания рекомендовала заменить затронутые устройства, поскольку одних исправлений оказалось недостаточно. Нынешнее предупреждение касается других ошибок и не содержит сведений о взломанных системах или необходимости замены оборудования.