CVE-2026-116606: Barracuda ESG-autentiseringsbypass utnyttjas – uppdatering och kontroll av kompromettering

Barracuda publicerade den 2 november 2026 ett säkerhetsmeddelande om två sårbarheter i Barracuda Email Security Gateway (ESG) och tillhandahöll korrigeringar samma dag. CVE-2026-116606 är en autentiseringsbypass med CVSS 4.0-poängen 9.3: En angripare utan inloggning kan via administrationsgränssnittet anropa en funktion för konfigurationsimport, importera en manipulerad säkerhetskopia och därmed ändra enhetens globala konfiguration. Enligt NVD och Mandiant påverkas alla ESG-versioner före 9.4.0.030. Tillsammans med Command Injection-sårbarheten CVE-2026-111560 är root-åtkomst till enheten möjlig, enligt Barracuda. Den 9 november 2026 kompletterade Barracuda säkerhetsmeddelandet med uppgiften att sårbarheterna hade utnyttjats hos ett litet antal organisationer. Den amerikanska myndigheten CISA lade till båda CVE:erna i sin katalog över aktivt utnyttjade sårbarheter (KEV) den 10 november 2026.

Det viktigaste i korthet

Berörda versioner och uppdateringar

Barracuda identifierar korrigeringarna i säkerhetsmeddelandet genom patchbeteckningar; versionsgränsen 9.4.0.030 kommer från Mandiants CVE-post och från NVD. Skrivsättet «9.4.017» följer säkerhetsmeddelandet. Om firmware ligger flera versioner efter kan mer än en uppdatering krävas innan patchen får effekt, enligt Barracuda.

CVE-2026-111560 (Command Injection, CVSS 4.0: 8.6) påverkar även andra produkter utöver ESG. Utan CVE-2026-116606 kräver utnyttjande där administratörsbehörighet. Versionsgränserna kommer från Beazley Securitys översikt och patchbeteckningarna från Barracudas säkerhetsmeddelande:

Vad som är känt om utnyttjandet

Barracuda skriver i uppdateringen från den 9 november 2026 att man har konstaterat utnyttjande hos ett litet antal organisationer. Barracuda lämnar inga uppgifter om antalet drabbade, angriparna eller tillvägagångssättet; säkerhetsmeddelandet innehåller inga indikatorer (IoC:er). CISA har listat CVE-2026-116606 och CVE-2026-111560 i KEV-katalogen sedan den 10 november 2026 och kräver att amerikanska federala myndigheter genomför tillverkarens åtgärder samt en forensisk granskning enligt BOD 26-04 senast den 13 november 2026. Om åtgärd inte är möjlig ska produkten enligt CISA tas ur drift.

Barracuda rapporterade sårbarheten den 22 oktober 2026; Mandiant publicerade CVE-posten och säkerhetsmeddelandet MNDT-2026-0042 den 2 november 2026. Enligt Mandiant sker attacken via konfigurationsimporten: En manipulerad, kompatibel säkerhetskopia importeras utan inloggning och skriver över den globala konfigurationen. Enligt SecurityWeek finns CVE-2026-111560 i tidszonsinställningen och möjliggör kommandon med root-behörighet.

Enligt SecurityOnline har watchTowr Labs publicerat en teknisk analys och ett skript för kedjan på GitHub. Repositoryt är offentligt; watchTowr beskriver skriptet som en «Detection Artifact Generator», och enligt SecurityOnline accepterar det godtyckliga kommandon. SecurityOnline beskriver orsakerna så här: Ett misslyckat lösenordsbyte rapporterar visserligen ett fel men avbryter inte bearbetningen; kontrollsumman för säkerhetskopiorna bygger på en hårdkodad hemlighet, vilket gör det möjligt att förfalska giltiga säkerhetskopior; via ett tidszonsvärde i säkerhetskopian körs sedan det insmugna kommandot som root. Det är inte känt om de observerade attackerna använder detta skript.

Omedelbara åtgärder

1. Kontrollera patchnivån: Hämta tillgängliga patchar med «Sync Now» i webbgränssnittet under ADVANCED > Firmware Update, i avsnittet «Firmware Patches», och kontrollera om BNSF-40425 respektive BNSF-40430 har tillämpats. Enligt Barracuda kan patcharna ha installerats automatiskt.

2. Installera patch eller firmware-uppdatering: Om patchen saknas, installera den manuellt omedelbart. I läget «Automatic» startar enheten enligt Barracudas dokumentation inte om automatiskt efter en patch; om en omstart krävs ska den startas manuellt. Utför först nödvändiga uppdateringssteg vid äldre firmware.

3. Aktivera automatisk patchning: Om «Apply Patches» är inställt på «Disable» (standardinställning enligt dokumentationen) eller «Manual», rekommenderar Barracuda att åter aktivera automatisk tillämpning.

4. Skydda administrationsgränssnittet: Begränsa åtkomsten till administrationsgränssnittet till betrodda interna nätverk, exempelvis ett administrationsnät eller ett VPN, och genomdriv detta i den framförliggande brandväggen. Barracuda bedömer enheter vars administrationsgränssnitt inte är åtkomligt från internet som mindre utsatta. Åtgärden ersätter inte patchen.

5. Kontrollera andra Barracuda-produkter: Kontrollera Load Balancer ADC, WAF, WSG, Message Archiver och WAF Control Center för patcharna till CVE-2026-111560.

Kontroll av kompromettering

Barracuda och CISA publicerar inga indikatorer. Eftersom sårbarheten utnyttjas och kan nås utan inloggning bör varje enhet kontrolleras vars administrationsgränssnitt var åtkomligt utanför administrationsnätet före patchen. Field Effect rekommenderar följande:

1. Klargör åtkomlighet: Fastställ om och sedan när administrationsgränssnittet var åtkomligt från internet eller från nätverk utanför administrationen; säkra brandväggs- och proxyloggar för denna period.

2. Utvärdera administrativa åtkomster: Kontrollera åtkomster till administrationsgränssnittet från okända adresser.

3. Sök efter konfigurationsimporter: Återställningar av konfigurationssäkerhetskopior som inte härrör från den egna administrationen är en indikation på CVE-2026-116606.

4. Kontrollera konfigurationsändringar: Kontrollera konfigurationsändringar för oväntade poster. En jämförelse med en känd, ren säkerhetskopia är användbar; även tidszonsinställningen, via vilken CVE-2026-111560 utlöses, ingår i detta.

5. Byt autentiseringsuppgifter: Vid misstanke om kompromettering ska alla autentiseringsuppgifter, nycklar och konton som är åtkomliga från enheten bytas.

En framgångsrik attack ändrar enligt CVE-beskrivningen den globala konfigurationen, och i kombination med CVE-2026-111560 är root-åtkomst möjlig. Källorna anger inte om patchen återställer sådana ändringar. Fortsätt därför kontrollera även efter uppdateringen, och säkerhetskopiera loggar och konfiguration före ändringar så att en forensisk analys fortfarande är möjlig. Efter kampanjen kring CVE-2023-2868 krävde Barracuda enligt SecurityWeek att komprometterade enheter skulle bytas ut; någon sådan rekommendation finns ännu inte för de aktuella sårbarheterna (status den 11 november 2026).

Bedömning

CVE-2026-116606 berör uteslutande operatörer av Barracuda Email Security Gateway; CVE-2026-111560 påverkar dessutom fem andra Barracuda-produkter. ESG har tidigare varit måltavla för riktade attacker: CVE-2023-2868 utnyttjades enligt BleepingComputer av gruppen UNC4841 sedan minst oktober 2022, och enligt Mandiant (citerat av BleepingComputer) tillhörde nästan en tredjedel av de då komprometterade enheterna myndigheter. Meddelanden från NCSC Schweiz, BSI eller CERT-FR om CVE-2026-116606 kunde inte hittas fram till den 11 november 2026.