Исправления вышли неделю назад, но уязвимости Barracuda уже применяют в реальных атаках. Вечером 9 ноября компания подтвердила эксплуатацию против небольшого числа организаций. Производитель не назвал пострадавших, страны, число затронутых устройств и характер ущерба. Пока неизвестно даже, получили ли злоумышленники доступ уровня root.
Речь идёт о CVE-2026-116606 с оценкой 9,3 балла и CVE-2026-111560 с оценкой 8,6 балла по CVSS 4.0. Первая ошибка позволяет обойти авторизацию на почтовом шлюзе Email Security Gateway, вторая даёт возможность выполнить команды с правами root. Вместе уязвимости позволяют захватить шлюз без учётной записи администратора.
Спустя три дня после первоначального бюллетеня специалисты watchTowr показали, как объединить обе ошибки в один HTTP-запрос. Демонстрация доказывает возможность удалённого запуска команд на уязвимом ESG без пароля. В открытом доступе появился инструмент для проверки устройств. Однако Barracuda не уточнила, использовали ли нападавшие именно такую цепочку.
Причина обхода защиты скрывалась в обработке неудачной попытки сменить пароль. Вместо прекращения запроса веб-интерфейс продолжал выполнять обработчики, включая восстановление конфигурации из резервной копии. Специально подготовленный архив позволял изменить настройки без авторизации. 3 ноября цепочку уже описали как потенциальную угрозу, но тогда подтверждений атак не было.
Вторая ошибка находилась в настройке часового пояса. При восстановлении параметров программа передавала значение переменной команде оболочки без проверки специальных символов. Контрольная сумма резервной копии при этом опиралась на постоянный секрет, встроенный в код. В лабораторном сценарии защиту архива удалось обойти и добиться выполнения команд с правами root.
Риск затрагивает не только почтовые шлюзы. Уязвимость внедрения команд также обнаружена в Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall и Web Security Gateway. Однако обход авторизации подтверждён только в ESG. Для остальных пяти продуктов эксплуатация ошибки внедрения команд отдельно требует административных прав.
Для атаки на ESG без пароля необходим сетевой доступ к административной панели. Закрытый от интернета интерфейс снижает угрозу, но не исключает атаку из внутренней сети. По сведениям Mandiant, обход авторизации затрагивает ESG до версии 9.4.0.030. При этом Barracuda считает прошивку 9.4.0.029 исправленной. Из-за расхождения нужно проверить и версию, и установленные патчи.
Исправления для всех шести продуктов вышли 2 ноября. Для ESG предусмотрены патчи BNSF-40425 и BNSF-40430 в зависимости от прошивки, а для остальных устройств выпущены отдельные пакеты. Barracuda советует проверить обновления и закрыть панели управления от интернета. Для некоторых устройств патч не меняет номер прошивки. Подтверждений массовой кампании или кражи переписки пока нет.