Злоумышленник, которому доступен интерфейс администрирования уязвимого шлюза Barracuda Email Security Gateway, может использовать две уязвимости вместе и получить права root — высший уровень контроля над устройством. 9 ноября Barracuda сообщила, что зафиксировала использование уязвимостей в атаках на небольшое число организаций. Точного числа в уведомлении нет.
10 ноября Агентство по кибербезопасности и защите инфраструктуры США (CISA) добавило обе уязвимости, CVE-2026-116606 и CVE-2026-111560, в каталог известных эксплуатируемых уязвимостей. В обеих записях указан срок устранения до 13 ноября и стоит отметка о первичном анализе цифровых следов. 13 ноября — срок устранения для федеральных ведомств. В бюллетене от 9 ноября CISA пояснила, что обязательная оперативная директива 26-04 распространяется на гражданские ведомства федеральной исполнительной власти.
Эти две уязвимости действуют по-разному. Согласно уведомлению Barracuda, первая позволяет обойти аутентификацию на Email Security Gateway, если злоумышленник может открыть интерфейс администрирования. Вторая позволяет злоумышленнику с административным доступом выполнять команды с правами root. Шлюз — единственный продукт, для которого Barracuda указала обе уязвимости. У пяти других продуктов в уведомлении указана только уязвимость, позволяющая внедрять команды.
Администраторам шлюза прежде всего нужно выяснить, кто может открыть интерфейс администрирования. Barracuda рекомендует ограничить этот доступ доверенными внутренними сетями. Затем проверьте на устройстве версию прошивки и наличие патча: для версии 9.4.017 и новее Barracuda указывает патч BNSF-40425, для более ранних версий — BNSF-40430. Если патч не установился автоматически, компания советует как можно скорее установить его вручную. Устройствам с прошивкой, отстающей на несколько версий, может потребоваться больше одного обновления.
Остаётся вопрос, успел ли кто-нибудь проникнуть в систему до установки патча. Установленный патч показывает, какая защита действует сейчас, но не позволяет выяснить, кто получил доступ к устройству раньше. Поэтому отметка о первичном анализе цифровых следов в каталоге важна даже после установки патча.