CVE-2026-116606: Barracuda ESG-autentiseringsomgåelse utnyttes – oppdatering og kontroll for kompromittering

Barracuda publiserte 2. november 2026 en rådgivning om to sårbarheter i Barracuda Email Security Gateway (ESG) og gjorde oppdateringer tilgjengelige samme dag. CVE-2026-116606 er en autentiseringsomgåelse med en CVSS-4.0-vurdering på 9.3: En angriper uten innlogging kan bruke en funksjon for konfigurasjonsimport via administrasjonsgrensesnittet, importere en manipulert sikkerhetskopi og dermed endre appliance-ens globale konfigurasjon. Ifølge NVD og Mandiant er alle ESG-versjoner før 9.4.0.030 berørt. Sammen med Command Injection CVE-2026-111560 er root-tilgang til enheten mulig, ifølge Barracuda. Den 9. november 2026 supplerte Barracuda rådgivningen med informasjon om at sårbarhetene hadde blitt utnyttet hos et lite antall organisasjoner. Den amerikanske myndigheten CISA tok begge CVE-ene inn i katalogen over utnyttede sårbarheter (KEV) 10. november 2026.

Det viktigste kort oppsummert

Berørte versjoner og oppdateringer

Barracuda identifiserer rettelsene i rådgivningen med oppdateringsidentifikatorer; versjonsgrensen 9.4.0.030 stammer fra CVE-oppføringen fra Mandiant og fra NVD. Skrivemåten «9.4.017» følger rådgivningen. Dersom fastvaren ligger flere versjoner bak, kan det ifølge Barracuda være nødvendig med mer enn én oppdatering før oppdateringen trer i kraft.

CVE-2026-111560 (Command Injection, CVSS 4.0: 8.6) berører også andre produkter enn ESG. Uten CVE-2026-116606 krever utnyttelse der administratorrettigheter. Versjonsgrensene stammer fra oversikten fra Beazley Security, mens oppdateringsidentifikatorene kommer fra Barracuda-rådgivningen:

Hva som er kjent om utnyttelsen

Barracuda skriver i oppdateringen fra 9. november 2026 at de har registrert utnyttelse hos et lite antall organisasjoner. Barracuda oppgir ikke antall berørte, angriperne eller fremgangsmåten; rådgivningen inneholder ingen indikatorer (IoC-er). CISA har ført CVE-2026-116606 og CVE-2026-111560 i KEV-katalogen siden 10. november 2026 og krever at amerikanske føderale myndigheter gjennomfører produsentens tiltak og en forensisk gjennomgang i henhold til BOD 26-04 innen 13. november 2026. Hvis det ikke er mulig å avhjelpe, skal produktet tas ut av drift ifølge CISA.

Barracuda rapporterte sårbarheten 22. oktober 2026; Mandiant publiserte CVE-oppføringen og rådgivningen MNDT-2026-0042 2. november 2026. Ifølge Mandiant går angrepet via konfigurasjonsimport: En manipulert, kompatibel sikkerhetskopi importeres uten innlogging og overskriver den globale konfigurasjonen. Ifølge SecurityWeek ligger CVE-2026-111560 i tidssoneinnstillingen og gjør det mulig å kjøre kommandoer med root-rettigheter.

Ifølge SecurityOnline har watchTowr Labs publisert en teknisk analyse og et skript for kjeden på GitHub. Repositoryet er offentlig; watchTowr omtaler skriptet som en «Detection Artifact Generator», og ifølge SecurityOnline aksepterer det vilkårlige kommandoer. SecurityOnline beskriver årsakene slik: Et mislykket passordbytte rapporterer riktignok en feil, men avbryter ikke behandlingen; kontrollsummen for sikkerhetskopifilene er basert på en hardkodet hemmelighet, slik at gyldige sikkerhetskopier kan forfalskes; deretter kjøres den injiserte kommandoen som root via en tidssoneverdi i sikkerhetskopien. Det er ikke kjent om de observerte angrepene bruker dette skriptet.

Umiddelbare tiltak

1. Kontroller oppdateringsstatus: I webgrensesnittet, under ADVANCED > Firmware Update, henter du tilgjengelige oppdateringer med «Sync Now» i delen «Firmware Patches» og kontrollerer om BNSF-40425 eller BNSF-40430 er brukt. Ifølge Barracuda kan oppdateringene ha blitt installert automatisk.

2. Installer oppdatering eller fastvareoppdatering: Hvis oppdateringen mangler, installer den manuelt umiddelbart. I modusen «Automatic» starter appliance-en ikke automatisk på nytt etter en oppdatering, ifølge Barracuda-dokumentasjonen; dersom omstart er nødvendig, må den utløses manuelt. Utfør først nødvendige oppdateringstrinn ved eldre fastvare.

3. Aktiver automatisk oppdatering: Hvis «Apply Patches» står på «Disable» (standardinnstilling ifølge dokumentasjonen) eller «Manual», anbefaler Barracuda å aktivere automatisk bruk igjen.

4. Skjerm administrasjonsgrensesnittet: Begrens tilgang til administrasjonsgrensesnittet til pålitelige interne nettverk, for eksempel et administrasjonsnettverk eller et VPN, og håndhev dette i den foranliggende brannmuren. Barracuda vurderer enheter uten administrasjonsgrensesnitt som er tilgjengelig fra Internett, som mindre utsatt. Tiltaket erstatter ikke oppdateringen.

5. Kontroller andre Barracuda-produkter: Kontroller Load Balancer ADC, WAF, WSG, Message Archiver og WAF Control Center for oppdateringene til CVE-2026-111560.

Kontroll for kompromittering

Barracuda og CISA publiserer ingen indikatorer. Siden sårbarheten utnyttes og kan nås uten innlogging, bør hver enhet kontrolleres dersom administrasjonsgrensesnittet var tilgjengelig utenfor administrasjonsnettverket før oppdateringen. Field Effect anbefaler følgende:

1. Avklar tilgjengelighet: Fastslå om og siden når administrasjonsgrensesnittet var tilgjengelig fra Internett eller fra nettverk utenfor administrasjonen; sikre brannmur- og proxy-logger for denne perioden.

2. Analyser administrative tilganger: Kontroller tilgang til administrasjonsgrensesnittet fra ukjente adresser.

3. Se etter konfigurasjonsimporter: Gjenopprettinger av konfigurasjonssikkerhetskopier som ikke stammer fra egen administrasjon, er en indikasjon på CVE-2026-116606.

4. Kontroller konfigurasjonsendringer: Se etter uventede oppføringer i konfigurasjonsendringene. Sammenligning med en kjent, ren sikkerhetskopi er nyttig; dette omfatter også tidssoneinnstillingen som CVE-2026-111560 utløses via.

5. Bytt tilgangsopplysninger: Ved mistanke om kompromittering må alle tilgangsopplysninger, nøkler og kontoer som er tilgjengelige fra appliance-en, byttes.

Et vellykket angrep endrer den globale konfigurasjonen ifølge CVE-beskrivelsen, og sammen med CVE-2026-111560 er root-tilgang mulig. Kildene uttaler seg ikke om hvorvidt oppdateringen tilbakestiller slike endringer. Fortsett derfor å kontrollere også etter oppdateringen, og sikre logger og konfigurasjon før endringer, slik at en forensisk analyse fortsatt er mulig. Etter kampanjen rundt CVE-2023-2868 krevde Barracuda ifølge SecurityWeek utskifting av kompromitterte enheter; en slik anbefaling foreligger foreløpig ikke for de aktuelle sårbarhetene (per 11. november 2026).

Vurdering

CVE-2026-116606 berører utelukkende operatører av Barracuda Email Security Gateway; CVE-2026-111560 rammer i tillegg fem andre Barracuda-produkter. ESG har også tidligere vært mål for målrettede angrep: CVE-2023-2868 har ifølge BleepingComputer blitt utnyttet av gruppen UNC4841 siden minst oktober 2022, og ifølge Mandiant (sitert av BleepingComputer) tilhørte nesten en tredjedel av de da kompromitterte enhetene myndigheter. Meldinger fra NCSC Sveits, BSI eller CERT-FR om CVE-2026-116606 var ikke å finne innen 11. november 2026.