CVE-2026-116606: Authentication Bypass Allows Global Configuration Restore in Barracuda Email Security Gateway

Analyse på rafaelpfister.ch

Artikkel · 11. november 2026 CVE-2026-116606: Barracuda ESG-autentiseringsomgåelse utnyttes – oppdatering og kontroll for kompromittering En autentiseringsomgåelse i Barracuda Email Security Gateway før 9.4.0.030 (CVE-2026-116606, CVSS 4.0: 9.3) gjør det mulig å importere en manipulert konfigurasjonssikkerhetskopi uten innlogging. Barracuda bekrefter angrep, og CISA har ført sårbarheten i KEV-katalogen siden 10. november 2026. Oppdateringer har vært tilgjengelige siden 2. november; administrasjonsgrensesnittet bør ikke være tilgjengelig fra Internett.

Produsentens beskrivelse (engelsk)

An authentication bypass in Barracuda Email Security Gateway versions earlier than 9.4.0.030 allows an unauthenticated remote attacker to invoke a configuration-import function and restore a crafted, compatible backup archive, resulting in unauthorized modification of the appliance’s global configuration.

Referansedata

Produsent

Barracuda Networks

Berørte produkter

Barracuda Email Security Gateway (ESG)

CVSS 4.0

9.3 (CRITICAL)

Vektor

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Type svakhet

CWE-288: Authentication bypass using an alternate path or channel

Publisert

2. november 2026

I KEV-katalogen siden

10. november 2026

Frist amerikanske føderale etater

13. november 2026

Offisielle kilder

← Alle sårbarheter