Barracuda исправила две уязвимости, сочетание которых позволяет выполнить команды с правами root на устройстве Email Security Gateway без аутентификации. Исследователи watchTowr продемонстрировали цепочку в лабораторных условиях: она использует обход авторизации для загрузки специально подготовленной резервной копии, а затем внедрение команд через её параметры.
Какие уязвимости затронуты
Первая проблема — CVE-2026-116606, обход авторизации, затрагивающий только Barracuda Email Security Gateway. Неаутентифицированный атакующий может восстановить подготовленную конфигурационную резервную копию и изменить глобальные настройки устройства.
Вторая — CVE-2026-111560, уязвимость внедрения команд, позволяющая запускать команды от имени root — с максимальными привилегиями в системе. В обычных условиях для её эксплуатации необходима учётная запись администратора. В Email Security Gateway этот барьер может быть снят благодаря CVE-2026-116606.
Mandiant, оформившая обе записи CVE, оценила CVE-2026-116606 в 9,3 балла из 10, а CVE-2026-111560 — в 8,6 балла. Помимо Email Security Gateway, уязвимость внедрения команд затрагивает ещё пять продуктов Barracuda, но для её эксплуатации на них по-прежнему требуются административные учётные данные.
Как работает цепочка
Согласно техническому разбору watchTowr, неудачный запрос на смену пароля не прекращает обработку так, как должен. Вместо этого устройству присваивается низкопривилегированная роль. В результате функция резервного копирования и восстановления остаётся доступной пользователю, который фактически не прошёл аутентификацию.
Функция принимает загружаемый файл резервной копии. Среди восстанавливаемых данных находится значение часового пояса, которое устройство позднее передаёт в оболочку как команду с правами root. Резервные копии защищены контрольной суммой, однако секрет для её расчёта встроен в код устройства. Поэтому атакующий может сформировать файл с корректной контрольной суммой.
Новости информационной безопасности, технологий и государственного регулирования, а также анонсы новых исследований Tech Threat Lab.
При планировании таких работ можно отдельно изучить в разделе услуг ИТБ по информационной безопасности доступные направления и сопоставить их с задачами своей организации.
Исправления и признаки эксплуатации
Barracuda выпустила исправления для всех затронутых продуктов в понедельник той же недели. Для Email Security Gateway проблема устранена в прошивке версии 9.4.0.030 и более поздних версиях. В четверг watchTowr опубликовала технические детали цепочки.
На текущей неделе обе CVE отсутствуют в каталоге CISA Known Exploited Vulnerabilities. В публичных отчётах также нет сведений, связывающих эти уязвимости с атаками. WatchTowr выпустила средство проверки, позволяющее определить, подвержено ли устройство проблеме, но рабочий эксплойт не публиковала.
Email Security Gateway уже становился целью атак в 2023 году: группа UNC4841 использовала в нём другую уязвимость нулевого дня — CVE-2023-2868. Тот эпизод не связан с CVE-2026-116606 и CVE-2026-111560, а новая пара уязвимостей не атрибутирована какой-либо группе.
Что проверить администраторам
Barracuda рекомендует установить обновления для всех уязвимых продуктов либо обновить прошивку до исправленных версий. Для Email Security Gateway следует перейти как минимум на версию 9.4.0.030.
Если обновление нельзя установить немедленно, доступ к административному интерфейсу устройства следует ограничить доверенными внутренними сетями. Также рекомендуется вновь включить автоматическую установку исправлений, если эта функция была отключена.
Для российских организаций, эксплуатирующих Barracuda Email Security Gateway, приоритетны проверка версии прошивки и оценка доступности интерфейса администрирования извне. Подтверждённых атак с использованием этой цепочки пока нет, однако лабораторная демонстрация показывает: для получения root-доступа на уязвимом шлюзе действующая учётная запись администратора не требуется.