CVE-2026-116606: Authentication Bypass Allows Global Configuration Restore in Barracuda Email Security Gateway

Analys på rafaelpfister.ch

Artikel · 11 november 2026 CVE-2026-116606: Barracuda ESG-autentiseringsbypass utnyttjas – uppdatering och kontroll av kompromettering En autentiseringsbypass i Barracuda Email Security Gateway före 9.4.0.030 (CVE-2026-116606, CVSS 4.0: 9.3) gör det möjligt att importera en manipulerad konfigurationssäkerhetskopia utan inloggning. Barracuda bekräftar attacker, och CISA har listat sårbarheten i KEV-katalogen sedan den 10 november 2026. Korrigeringar har funnits tillgängliga sedan den 2 november; administrationsgränssnittet bör inte vara åtkomligt från internet.

Tillverkarens beskrivning (engelska)

An authentication bypass in Barracuda Email Security Gateway versions earlier than 9.4.0.030 allows an unauthenticated remote attacker to invoke a configuration-import function and restore a crafted, compatible backup archive, resulting in unauthorized modification of the appliance’s global configuration.

Referensdata

Tillverkare

Barracuda Networks

Berörda produkter

Barracuda Email Security Gateway (ESG)

CVSS 4.0

9.3 (CRITICAL)

Vektor

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Typ av svaghet

CWE-288: Authentication bypass using an alternate path or channel

Publicerad

2 november 2026

I KEV-katalogen sedan

10 november 2026

Tidsfrist amerikanska federala myndigheter

13 november 2026

Officiella källor

← Alla sårbarheter