Barracuda מזהירה: פגיעויות make-me-root מנוצלות ב-Email Security Gateway

חברת האבטחה Barracuda מזהירה שתוקפים מנצלים באג של עקיפת הרשאה לפני אימות ופגיעות הזרקת פקודות במוצרי Email Security Gateway שלה. שתי הפגיעויות, בשילוב, יכולות לאפשר לתוקפים להריץ פקודות עם הרשאות root. Barracuda מסרה שעדכון מיום שני בלילה זיהה פעילות ניצול שפגעה במספר קטן של ארגונים.

מה Barracuda חשפה

Barracuda סירבה לענות על שאלות על המקרים, כולל כמה ארגונים נפגעו. דובר החברה אמר שהחברה עבדה ישירות עם עסקים שנפגעו ושחררה טלאים למוצרים שנפגעו. החברה חשפה ותיקנה את CVE-2026-116606 ו-CVE-2026-111560 בשבוע שעבר. CVE-2026-116606 היא פגיעות עקיפת הרשאה לפני אימות ב-ESG בדירוג 9.3 לפי CVSS; אין צורך באימות, אך התוקף חייב להיות בעל גישה לממשק הניהול. CVE-2026-111560 היא פגיעות הזרקת פקודות בדירוג 8.6 הפוגעת ב-ESG, במאזן עומסים (ADC), בארכיון הודעות (BMA), בחומת אש ליישומי ווב (WAF), במרכז שליטה ל-WAF (WCC) ובשער אבטחת ווב (WSG).

סיכון בשילוב הפגיעויות

Barracuda הזהירה ב-2 בנובמבר שאם מנוצלות בשילוב, הפגיעויות יכולות לאפשר לתוקף לעקוף בקרות הרשאה ולזכות בגישת root למכשיר. במועד זה החברה לא דיווחה על ניצול פעיל של אף אחת מהפגיעויות. עדיין לא ידוע מי אחראי למתקפות, או האם התוקפים השיגו גישת root. אם כן, הם יכלו לגנוב נתונים, להתקין דלתות אחוריות וליטול שליטה מלאה במערכות שנפגעו.

קשרים למתקפות קודמות

פגיעויות מסוג זה במכשירי קצה שימשו את הריגול של ממשלת סין. ב-2023, ה-FBI ייחס לתוקפים הקשורים ל-PRC מתקפות שכוונו למוצרי ESG של Barracuda כדי לפרוס נוזקות מותאמות ולשמור על גישה לרשתות בעלות ערך גבוה. לפי Mandiant, 27 אחוזים מהארגונים שנפגעו שזוהו היו ישויות ממשלתיות.

עצות למנהלי מערכת

מייסד Purplecop Security, Tausif Ahmed, אמר ביום שלישי שאם ממשק הניהול של Email Security Gateway פתוח לאינטרנט, יש לסגור אותו תחילה. עצתה האחרונה של Barracuda הייתה לתקן מיד.

מקורות: The Register