# Barracuda ESGに認証回避など2件の欠陥、悪用を確認

- 分類: 脆弱性情報
- 公開日: 2026年11月2日
- 発行: サイバーセキュリティ情報センター 編集部（株式会社Rabbitly）
- URL: https://security-info.org/articles/2026-11-02-barracuda-esg-auth-bypass-kev/
- タグ: Barracuda、メール、悪用確認、CVE-2026-116606、CVE-2026-111560、海外

> Barracuda がメール装置 ESG などの欠陥 CVE-2026-116606 と CVE-2026-111560 を11月2日に公表しました。組み合わせると装置を root で操られるおそれがあり、悪用も確認されています。パッチの適用状況を確かめてください。

## 脆弱性の概要

| 項目 | 内容 |
| --- | --- |
| 対象 | メール装置 |
| 深刻度 | 緊急 |
| CVSS | 9.3 |
| 悪用 | あり（確認済み） |
| 影響 | 2件を組み合わせて装置を root で操られる |
| 修正版 | 修正版あり |
| 公表元 | Barracuda / Mandiant / CISA |

### 影響を受ける製品

| 製品 | 対象のバージョン | 修正版 |
| --- | --- | --- |
| Email Security Gateway（CVE-2026-116606） | 9.4.0.030 より前 | パッチ BNSF-40425（9.4.017 以降）、BNSF-40430（9.4.017 より前） |
| Email Security Gateway（CVE-2026-111560） | 9.4.0.27 以前 | パッチ BNSF-40425、BNSF-40430 |
| Load Balancer ADC | 6.4.0 以前 | パッチ BNADC-16586 |
| Web Application Firewall | 11.0.1 以前 | パッチ BNADC-16586 |
| Web Security Gateway | 16.1.100.100 以前 | パッチ BNYF-24789 |
| Message Archiver | 5.5.4.0 以前 | パッチ BNMA-32468 |
| WAF Control Center | 2.2.1 以前 | パッチ BNWF-60060 |

## やること

Barracuda Networks は11月2日（米国時間）、メールの検査装置 Email Security Gateway（ESG）などに2件の欠陥があると公表しました。CVE-2026-116606 は ESG の認証を通らずに設定を書き換えられる欠陥で、CVE-2026-111560 は管理者の権限で OS のコマンドを実行できる欠陥です。2件を組み合わせると、装置を root（装置の中でいちばん強い権限）で操られるおそれがあります。11月9日には少数の組織で悪用を確認したと追記しました。

ESG、Load Balancer ADC、Web Application Firewall（WAF）、Web Security Gateway（WSG）、Message Archiver（BMA）、WAF Control Center（WCC）のどれかを使っているなら、次の順に進めてください。

- 管理画面で、最新のファームウェアとパッチが入っているかを確かめてください。Barracuda は、パッチが自動で入っていなければ、すぐに手で入れるよう求めています
- 自動でパッチを受け取る設定を切っている場合は、入れ直してください
- 管理画面に届く範囲を、社内の信頼できるネットワークに絞ってください

ファームウェアが何世代も古いと、何回かに分けて更新することになると Barracuda は書いています。手で入れる方法は Barracuda Campus の資料にあり、困ったときはサポートに問い合わせるよう案内しています。

## 2件の欠陥の違い

CVE-2026-116606 は ESG だけにある欠陥です。設定のバックアップを読み込む機能を認証なしで呼び出せるため、細工したバックアップを読み込ませて、装置全体の設定を書き換えられます。CVSS（v4.0）は 9.3 です。Mandiant の資料と NVD では、9.4.0.030 より前の ESG が対象です。

CVE-2026-111560 は Barracuda の複数の製品が共通で使う部分にある欠陥です。タイムゾーンの設定欄に入れた記号をそのまま OS のコマンドとして扱うため、管理者の権限で細工した値を入れると、その値が処理されたときに root でコマンドが動きます。CVSS（v4.0）は 8.6 です。単独で使うには管理者としてのログインが要ります。Barracuda は2件を組み合わせると権限の確認を越えて root の権限を得られるおそれがあると説明しており、CISA も2件は組み合わせて使えると書いています。

## 攻撃に必要な条件

CVE-2026-116606 の条件は資料によって書き方が違います。Mandiant、NVD、CISA は「認証のない遠隔の攻撃者」が使えると書いています。Barracuda は11月5日に表の項目を直し、認証は要らないものの、管理画面に届くことが要ると書き加えました。管理画面がインターネットから届かなければ、危険は小さくなります。Barracuda が管理画面の範囲を絞るよう勧めているのは、このためです。

## パッチと対象の版

Barracuda の表では、ESG は 9.4.017 以降の版に BNSF-40425、それより前の版に BNSF-40430 を当てます。ほかの製品は、ADC と WAF が BNADC-16586、BMA が BNMA-32468、WCC が BNWF-60060、WSG が BNYF-24789 です。CVE-2026-111560 の対象の版は、Mandiant の資料で ESG 9.4.0.27 以前、ADC 6.4.0 以前、WAF 11.0.1 以前、WSG 16.1.100.100 以前、BMA 5.5.4.0 以前、WCC 2.2.1 以前です。Barracuda の表は ESG のほかは版の範囲を示していません。

## 悪用の状況

Barracuda は11月9日の追記で、少数の組織に影響する悪用を確認したと書きました。被害の中身や件数は公表していません。CISA は11月10日にこの2件を、悪用が確認された脆弱性の一覧（KEV）に加え、米国の政府機関に11月13日までの対応を求めました。ランサムウェアに使われたかは「不明」です。JPCERT/CC は11月11日の週報で、攻撃に使えるコードが公開されていることを確認したと書いています。

## 侵害の確かめ方

Barracuda の資料には、侵害の痕跡や調べ方は載っていません。案内しているのはサポートへの問い合わせです。

CISA は KEV でこの2件に、侵害の調べ（フォレンジックのトリアージ）を求める印を付けました。CISA が政府機関向けに示す手順では、パッチを当てる前に装置の記録やメモリーなどの証拠を集め、そのあとで不正な侵入、入り込み続けるための仕掛け、データの持ち出しがないかを調べます。民間企業に義務はありませんが、管理画面が外から届いていた ESG は、パッチの前に記録を残し、見覚えのない設定の変更がないかを確かめると、あとで調べるときの材料になります。怪しい点が見つかったら、Barracuda のサポートに相談してください。

## 自社で確かめること

1. **パッチと自動更新**：装置の管理画面で、最新のファームウェアとパッチが入っているかを見てください。自動でパッチを受け取る設定が切れていたら、入れ直してください。
2. **管理画面の公開範囲**：管理画面にインターネットから届くかを確かめ、届くなら社内の信頼できるネットワークからだけに絞ってください。
3. **設定の書き換え**：パッチより前から管理画面が外から届いていたなら、見覚えのない設定の変更がないかを調べ、Barracuda のサポートに相談してください。

## 出典

- [Barracuda「Pre-Authentication Authorization Bypass and Command Injection Vulnerabilities in Certain Barracuda Products」](https://trust.barracuda.com/security/pre-authentication-authorization-bypass-command-injection)
- [Mandiant「MNDT-2026-0042」](https://github.com/mandiant/Vulnerability-Disclosures/blob/master/2026/MNDT-2026-0042.md)
- [Mandiant「MNDT-2026-0041」](https://github.com/mandiant/Vulnerability-Disclosures/blob/master/2026/MNDT-2026-0041.md)
- [NVD「CVE-2026-116606」](https://nvd.nist.gov/vuln/detail/CVE-2026-116606)
- [NVD「CVE-2026-111560」](https://nvd.nist.gov/vuln/detail/CVE-2026-111560)
- [CISA「Known Exploited Vulnerabilities Catalog」（JSON）](https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json)
- [CISA「BOD 26-04: Implementation Guidance for Prioritizing Security Updates Based on Risk」](https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk)
- [JPCERT/CC「Weekly Report 2026-11-11号」](https://www.jpcert.or.jp/wr/2026/wr261111.html)