Aktualizované: Barracuda opravila chyby v ESG: reťazec môže viesť k root prístupu bez prihlásenia
Nové technické zverejnenie Mandiantu spresňuje, že prvú z dvojice chýb v Barracuda Email Security Gateway možno vzdialene zneužiť bez prihlásenia, ak je dostupné administračné rozhranie.
Zraniteľnosti Barracuda ESG dostali dôležité technické spresnenie: dvojica opravených chýb v Email Security Gateway (ESG) môže pri ich zreťazení umožniť vzdialenému útočníkovi vykonávať príkazy s právami root bez toho, aby na začiatku poznal administrátorské prihlasovacie údaje. Podmienkou je sieťová dostupnosť príslušného administračného rozhrania.
Barracuda vydala opravy 2. novembra pre CVE-2026-116606 v ESG a CVE-2026-111560, chybu typu command injection zasahujúcu viacero jej produktov. Technické zverejnenie Mandiantu, verejne dostupné 3. novembra, potvrdzuje, že CVE-2026-116606 v ESG vo verziách starších než 9.4.0.030 môže neautentifikovaný vzdialený útočník zneužiť na vyvolanie importu konfigurácie a obnovu upraveného kompatibilného záložného archívu.
Barracuda ESG zraniteľnosti a reťazenie chýb
CVE-2026-111560 umožňuje autentifikovanému administrátorovi vložiť systémové príkazy do upravenej hodnoty časového pásma. Po jej spracovaní sa tieto príkazy vykonajú s právami root.
Práve CVE-2026-116606 môže na ESG odstrániť potrebu prihlásenia, ktorú si druhá chyba vyžaduje. Útočník tak môže najskôr zneužiť import upravenej konfigurácie a následne cez command injection dosiahnuť vykonávanie príkazov s právami root.
Ide o sprísnenie pôvodného výkladu rizika. Barracuda vo svojom advisory naďalej opisuje úspešné zneužitie ako scenár vyžadujúci prístup k administračnému rozhraniu. Mandiant však pri CVE-2026-116606 výslovne uvádza neautentifikovaného vzdialeného útočníka. Tieto tvrdenia si neprotirečia, ak sa rozlišuje medzi dosiahnuteľnosťou správcovského rozhrania zo siete a nutnosťou administrátorského prihlásenia.
Dotknuté produkty a hodnotenie závažnosti
Chyba CVE-2026-116606 sa týka Email Security Gateway. CVE-2026-111560 zasahuje okrem ESG aj Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall a Web Security Gateway.
Barracuda oba problémy označuje stupňom závažnosti High. Pri CVE-2026-116606 je však uvedené skóre CVSS v4 9,3, ktoré zodpovedá kategórii Critical. Rozdiel vyplýva z odlišného označenia výrobcu a kategorizácie samotného skóre.
Email Security Gateway spracúva e-mailovú prevádzku na perimetri organizácie. Root prístup k takémuto zariadeniu môže útočníkovi umožniť zásahy do konfigurácie, vytvorenie trvalého prístupu alebo ďalší pohyb v sieti.
Čo majú správcovia urobiť
Barracuda odporúča aplikovať príslušné patche a aktualizovať firmvér. Pre ESG je podstatné overiť, že zariadenie už nepoužíva verziu staršiu než 9.4.0.030, ktorej sa týka opis obídenia autentifikácie od Mandiantu.
Výrobca zároveň odporúča obmedziť administračné rozhrania na dôveryhodné interné siete. Správcovia by mali preveriť, či tieto rozhrania nie sú verejne dostupné alebo dosiahnuteľné z nedôveryhodných sieťových segmentov.
Zatiaľ bez potvrdeného zneužívania
Z dostupných overených informácií nevyplýva, že by niektorá z chýb bola aktívne zneužívaná v praxi. Treba sledovať, či Barracuda podrobnejšie vysvetlí formuláciu o administratívnom prístupe a či CISA alebo iné bezpečnostné autority zverejnia informácie o útokoch využívajúcich tieto CVE.
Zdroje
- Barracuda Networks Security Advisory – Potvrdzuje dotknuté produkty, dostupnosť patchov, odporúčania na obmedzenie administračných rozhraní a možnosť root prístupu po zreťazení chýb.
- Mandiant Vulnerability Disclosure MNDT-2026-0042 – Technicky potvrdzuje, že CVE-2026-116606 v ESG pred verziou 9.4.0.030 umožňuje neautentifikovanému vzdialenému útočníkovi vyvolať import upravenej konfigurácie.
- BleepingComputer – Nezávisle potvrdzuje zverejnenie opráv, rozsah dotknutých produktov a vzťah medzi obídením autentifikácie a command injection.
Overené a aktualizované: 05. 11. 2026 23:17
