Barracuda попереджає про експлуатовані вразливості з отриманням root у Email Security Gateway

Компанія з кібербезпеки Barracuda попереджає, що зловмисники експлуатують помилку обходу авторизації до автентифікації та вразливість ін'єкції команд у продуктах Email Security Gateway. Ці дві вразливості в ланцюжку можуть дозволити зловмисникам виконувати команди з правами root. Barracuda повідомила, що пізнє оновлення в понеділок уночі виявило активність експлуатації, яка зачепила невелику кількість організацій.

Що розкрила Barracuda

Barracuda відмовилася відповідати на запитання про інциденти, зокрема скільки організацій постраждало. Представник компанії повідомив, що вона працювала безпосередньо з постраждалими підприємствами та випустила виправлення для постраждалих продуктів. Постачальник розкрив і виправив CVE-2026-116606 та CVE-2026-111560 минулого тижня. CVE-2026-116606: це вразливість обходу авторизації до автентифікації з оцінкою 9.3 за CVSS у ESG; автентифікація не потрібна, але зловмисник має мати доступ до інтерфейсу адміністрування. CVE-2026-111560: це вразливість ін'єкції команд з оцінкою 8.6, що зачіпає ESG, балансувальник навантаження (ADC), архіватор повідомлень (BMA), брандмауер вебдодатків (WAF), центр керування WAF (WCC) і шлюз веббезпеки (WSG).

Ризик у разі поєднання вразливостей

Barracuda попередила 2 листопада, що у разі спільної експлуатації вразливості можуть дозволити зловмиснику обійти контроль авторизації та отримати root-доступ до пристрою. На той момент постачальник не повідомляв про активну експлуатацію жодної з вразливостей. Ще не відомо, хто відповідальний за атаки, та чи отримали зловмисники root-доступ. Якщо так, вони могли викрасти дані, встановити бекдори та взяти повний контроль над постраждалими системами.

Зв'язки з попередніми атаками

Такі експлуатації граничних пристроїв раніше використовували шпигуни, пов'язані з китайським урядом. У 2023 році ФБР звинуватило пов'язаних із КНР зловмисників в атаках на Barracuda ESG, щоб розгорнути власне шкідливе програмне забезпечення та зберегти доступ до мереж із високою цінністю. За даними Mandiant, 27 відсотків визначених постраждалих організацій були державними установами.

Поради для адміністраторів

Засновник Purplecop Security Tausif Ahmed у вівторок сказав, що якщо інтерфейс адміністрування Email Security Gateway відкритий в інтернет, це перше, що варто закрити. Остання порада Barracuda полягала в тому, щоб негайно встановити виправлення.

Джерела: The Register