Barracuda закликала оновити пристрої через вразливості з доступом root

Компанія Barracuda Networks попередила клієнтів про дві вразливості у своїх продуктах, які за певних умов можуть дозволити зловмисникам виконувати команди з привілеями root. Компанія випустила виправлення та рекомендувала перевірити версії прошивки й встановити всі доступні патчі.

Як повідомляє BleepingComputer, успішна експлуатація обох проблем потребує доступу до адміністративного інтерфейсу ураженого пристрою. Barracuda радить обмежити доступ до таких інтерфейсів лише довіреними внутрішніми мережами та застосувати належні засоби мережевого контролю доступу.

Дві вразливості

Критична вразливість CVE-2026-116606 пов’язана зі слабкістю автентифікації в Email Security Gateway (ESG). Її використання може дати змогу змінити глобальну конфігурацію пристрою. Друга проблема — CVE-2026-111560 — дозволяє користувачеві з адміністративними правами впроваджувати команди операційної системи, які виконуватимуться з правами root.

За даними Barracuda, у разі комбінованого використання цих вразливостей атакувальник може обійти механізми авторизації та отримати root-доступ до пристрою. Компанія заявила, що одразу розпочала процес усунення проблем і оприлюднила оновлення безпеки для уражених продуктів.

Які продукти потребують оновлення

CVE-2026-116606 та CVE-2026-111560 стосуються Email Security Gateway. Для версії ESG 9.4.017 і новіших Barracuda випустила патч BNSF-40425, а для попередніх версій — BNSF-40430.

Вразливість CVE-2026-111560 також зачіпає Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall і Web Security Gateway. Для цих продуктів доступні оновлення BNADC-16586, BNMA-32468, BNWF-60060 та BNYF-24789 відповідно.

У 2023 році Barracuda вже усувала вразливості в Email Security Gateway, які угруповання UNC4841 використовувало в атаках нульового дня. За інформацією компанії, одну з тих проблем експлуатували щонайменше сім місяців — із жовтня 2022 року.