Компанията за киберсигурност Barracuda Networks предупреди клиентите си да инсталират корекции за сигурност за две уязвимости, които могат да позволят на атакуващи да изпълняват команди с root привилегии.
Първата е критична уязвимост (CVE-2026-116606), произтичаща от слабост при удостоверяването в Email Security Gateway (ESG), която атакуващите могат да експлоатират, за да променят глобалната конфигурация на устройството, докато втората (CVE-2026-111560) позволява на злонамерени субекти с администраторски права да инжектират команди на операционната система, които се изпълняват с root привилегии.
Въпреки това от Barracuda посочиха, че успешната експлоатация изисква и достъп до административните интерфейси на целевите устройства, и посъветваха клиентите да използват подходящи контроли за мрежов достъп и да ограничат достъпа само до доверени вътрешни мрежи, за да намалят риска от излагане.
„Успешната експлоатация изисква атакуващият да има достъп до административния интерфейс на засегнатия продукт. Ако бъдат експлоатирани в комбинация, тези уязвимости биха могли да позволят на атакуващия да заобиколи контролите за оторизация и да получи root достъп до устройството“, обясниха от компанията.
„Barracuda незабавно стартира цялостен процес по отстраняване на проблема и пусна корекции за сигурност за засегнатите продукти. Клиентите трябва да прегледат засегнатите продукти и насоките за отстраняване [..], да се уверят, че системите им работят с най-новата версия на фърмуера и че всички корекции за сигурност са приложени.“
Пълен списък на всички засегнати устройства и наличните корекции за сигурност е представен в таблицата по-долу.
| Засегнат продукт | CVE-2026-116606 | CVE-2026-111560 | Корекция за сигурност |
|---|---|---|---|
| Email Security Gateway (ESG) | Да | Да | BNSF-40425 (9.4.017+), BNSF-40430 (<9.4.017) |
| Load Balancer ADC | Не | Да | BNADC-16586 |
| Message Archiver (BMA) | Не | Да | BNMA-32468 |
| WAF Control Center (WCC) | Не | Да | BNWF-60060 |
| Web Application Firewall (WAF) | Не | Да | BNADC-16586 |
| Web Security Gateway (WSG) | Не | Да | BNYF-24789 |
Преди три години Barracuda отстрани уязвимост и в Email Security Gateway (CVE-2023-7102), която хакерската група UNC4841 експлоатира в атаки от тип нулев ден за изпълнение на произволен код върху необновени устройства.
През същата година хакерите от UNC4841 злоупотребиха с друга zero-day уязвимост (CVE-2023-2868), за да атакуват устройства Barracuda ESG като част от кампании за кибершпионаж.
По-късно Barracuda разкри, че уязвимостта е била експлоатирана в продължение на поне седем месеца, най-малко от октомври 2022 г., за разполагане на неизвестния дотогава зловреден софтуер SeaSpy и Saltwater и за кражба на данни от компрометирани системи.
Почти една трета от хакнатите устройства в кампанията от 2023 г. са принадлежали на държавни агенции по целия свят, като повечето от тях са били пробити между октомври и декември 2022 г., според компанията за киберсигурност Mandiant.
Основана през 2003 г., Barracuda има над 200 000 клиенти по целия свят, включително малки и средни предприятия (МСП), големи корпорации и доставчици на управлявани услуги (MSP).