Barracuda Flaws Could Be Chained to Bypass Authorization and Gain Root Access
2026/11/03 TheHackerNews — Barracuda が公表したのは、同社の製品に影響する 2件の脆弱性である。これらを連鎖的に悪用することで、攻撃者は認可制御を回避し、影響を受けるデバイスの root 権限を奪取する可能性がある。これらは、認証前の認可バイパスの脆弱性 CVE-2026-116606 (CVSS 9.3) と、コマンド・インジェクションの脆弱性 CVE-2026-111560 (CVSS 8.6) である。
CVE-2026-116606 は Email Security Gateway のみに影響するが、CVE-2026-111560 は以下の Barracuda 製品に影響する。
- Email Security Gateway
- Load Balancer Application Delivery Controller
- Message Archiver
- WAF Control Center
- Web Application Firewall
- Web Security Gateway
Barracuda は、「侵害の前提として、影響を受ける製品の管理インターフェイスに対して、攻撃者がアクセスできる必要がある。ただし、これらの脆弱性を組み合わせて悪用する攻撃者は、認可制御を回避し、デバイスの root 権限を取得する可能性がある」と説明している。
管理インターフェイスをインターネットに公開していない組織は、この攻撃経路によるリスクが低いと、Barracuda は説明している。その上で、顧客に対して以下の対策を講じるよう求めている。
- 管理インターフェイスへのアクセスを、信頼できる内部ネットワークに限定する。
- 適切なネットワーク・アクセス制御を使用し、管理インターフェイスの露出を制限する。
さらに同社は、「これらの製品を使用している顧客にとって必要なことは、システムが最新バージョンのファームウェアで動作し、すべてのセキュリティ・パッチが適用されていることを確認することだ。デバイスのファームウェアが複数のバージョンにわたっている場合には、複数回のアップデートが必要になる可能性がある」と述べている。
この記事は、電子メール保護装置である Barracuda Email Security Gateway など複数の機器に存在する欠陥の組み合わせ攻撃と、その防御手法について解説するものです。管理用インターフェイスに対するアクセス制限の不完全さや外部露出が背景に存在します。影響として、アクセス制御の迂回／最高権限の不正奪取／機器全体の制御権獲得が生じる恐れがあります。対応策として、最新ファームウェアへの更新／管理用接続口に対するアクセス制限／セキュリティ修正の適用が求められます。 (対象 CVE：CVE-2026-116606)／(CVE-2026-111560)
You must be logged in to post a comment.