Barracuda ESGに認証回避など2件の欠陥、悪用を確認

やること

Barracuda Networks は11月2日（米国時間）、メールの検査装置 Email Security Gateway（ESG）などに2件の欠陥があると公表しました。CVE-2026-116606 は ESG の認証を通らずに設定を書き換えられる欠陥で、CVE-2026-111560 は管理者の権限で OS のコマンドを実行できる欠陥です。2件を組み合わせると、装置を root（装置の中でいちばん強い権限）で操られるおそれがあります。11月9日には少数の組織で悪用を確認したと追記しました。

ESG、Load Balancer ADC、Web Application Firewall（WAF）、Web Security Gateway（WSG）、Message Archiver（BMA）、WAF Control Center（WCC）のどれかを使っているなら、次の順に進めてください。

• 管理画面で、最新のファームウェアとパッチが入っているかを確かめてください。Barracuda は、パッチが自動で入っていなければ、すぐに手で入れるよう求めています
• 自動でパッチを受け取る設定を切っている場合は、入れ直してください
• 管理画面に届く範囲を、社内の信頼できるネットワークに絞ってください

ファームウェアが何世代も古いと、何回かに分けて更新することになると Barracuda は書いています。手で入れる方法は Barracuda Campus の資料にあり、困ったときはサポートに問い合わせるよう案内しています。

2件の欠陥の違い

CVE-2026-116606 は ESG だけにある欠陥です。設定のバックアップを読み込む機能を認証なしで呼び出せるため、細工したバックアップを読み込ませて、装置全体の設定を書き換えられます。CVSS（v4.0）は 9.3 です。Mandiant の資料と NVD では、9.4.0.030 より前の ESG が対象です。

CVE-2026-111560 は Barracuda の複数の製品が共通で使う部分にある欠陥です。タイムゾーンの設定欄に入れた記号をそのまま OS のコマンドとして扱うため、管理者の権限で細工した値を入れると、その値が処理されたときに root でコマンドが動きます。CVSS（v4.0）は 8.6 です。単独で使うには管理者としてのログインが要ります。Barracuda は2件を組み合わせると権限の確認を越えて root の権限を得られるおそれがあると説明しており、CISA も2件は組み合わせて使えると書いています。

攻撃に必要な条件

CVE-2026-116606 の条件は資料によって書き方が違います。Mandiant、NVD、CISA は「認証のない遠隔の攻撃者」が使えると書いています。Barracuda は11月5日に表の項目を直し、認証は要らないものの、管理画面に届くことが要ると書き加えました。管理画面がインターネットから届かなければ、危険は小さくなります。Barracuda が管理画面の範囲を絞るよう勧めているのは、このためです。

パッチと対象の版

Barracuda の表では、ESG は 9.4.017 以降の版に BNSF-40425、それより前の版に BNSF-40430 を当てます。ほかの製品は、ADC と WAF が BNADC-16586、BMA が BNMA-32468、WCC が BNWF-60060、WSG が BNYF-24789 です。CVE-2026-111560 の対象の版は、Mandiant の資料で ESG 9.4.0.27 以前、ADC 6.4.0 以前、WAF 11.0.1 以前、WSG 16.1.100.100 以前、BMA 5.5.4.0 以前、WCC 2.2.1 以前です。Barracuda の表は ESG のほかは版の範囲を示していません。

悪用の状況

Barracuda は11月9日の追記で、少数の組織に影響する悪用を確認したと書きました。被害の中身や件数は公表していません。CISA は11月10日にこの2件を、悪用が確認された脆弱性の一覧（KEV）に加え、米国の政府機関に11月13日までの対応を求めました。ランサムウェアに使われたかは「不明」です。JPCERT/CC は11月11日の週報で、攻撃に使えるコードが公開されていることを確認したと書いています。

侵害の確かめ方

Barracuda の資料には、侵害の痕跡や調べ方は載っていません。案内しているのはサポートへの問い合わせです。

CISA は KEV でこの2件に、侵害の調べ（フォレンジックのトリアージ）を求める印を付けました。CISA が政府機関向けに示す手順では、パッチを当てる前に装置の記録やメモリーなどの証拠を集め、そのあとで不正な侵入、入り込み続けるための仕掛け、データの持ち出しがないかを調べます。民間企業に義務はありませんが、管理画面が外から届いていた ESG は、パッチの前に記録を残し、見覚えのない設定の変更がないかを確かめると、あとで調べるときの材料になります。怪しい点が見つかったら、Barracuda のサポートに相談してください。