Две уязвимости Barracuda позволяют обойти авторизацию и получить root

Barracuda раскрыла две уязвимости в своих устройствах безопасности, совместная эксплуатация которых может позволить атакующему обойти механизмы авторизации и получить root-доступ. Идентификаторы проблем — CVE-2026-116606 с оценкой CVSS 9,3 и CVE-2026-111560 с оценкой 8,6.

Какие продукты затронуты

CVE-2026-116606 представляет собой обход авторизации до аутентификации и затрагивает только Barracuda Email Security Gateway. CVE-2026-111560 связана с внедрением команд и имеет более широкий список затронутых продуктов.

Во втором случае обновления необходимы пользователям Email Security Gateway, Load Balancer, Application Delivery Controller, Message Archiver, WAF Control Center, Web Application Firewall и Web Security Gateway.

Barracuda уточняет, что для успешной эксплуатации атакующему требуется доступ к административному интерфейсу уязвимого продукта. При объединении двух проблем этот доступ может быть использован для обхода авторизационных ограничений и получения привилегий root на устройстве.

Что проверить администраторам

Компания отмечает, что организации, не публикующие административные интерфейсы в интернете, менее подвержены этому сценарию атаки. Это не отменяет необходимость установки обновлений, но сокращает доступность точки входа для внешнего злоумышленника.

• Ограничить доступ к административным интерфейсам доверенными внутренними сетями.
• Применить средства сетевого контроля доступа, чтобы снизить внешнюю экспозицию.
• Проверить актуальность версии прошивки и наличие всех исправлений безопасности.

Если устройство отстаёт от актуальной прошивки на несколько версий, Barracuda предупреждает: для его обновления может потребоваться выполнить несколько последовательных обновлений. Этот порядок следует учитывать при планировании работ.

Практический вывод

Командам эксплуатации стоит инвентаризировать перечисленные продукты Barracuda, проверить доступность их административных консолей из внешних сетей и сверить установленные версии прошивки с доступными патчами. Приоритетом остаются закрытие публичного доступа к администрированию и контролируемое обновление устройств.