Barracuda Email Security Gateway: zneužívaná chyba CVE-2026-116606 dává útočníkům root přístup

Barracuda potvrdila, že útočníci zneužívají dvě chyby v Email Security Gateway. CISA je 10. listopadu přidala do katalogu zneužívaných zranitelností. Oprava je ve verzi 9.4.0.030.

Barracuda Email Security Gateway (ESG), zařízení a služba pro filtrování firemní pošty, má řetězec dvou chyb, který podle dostupných zpráv umožňuje neověřenému útočníkovi získat root přístup. Podle serverů Cybersecurity News a The Hacker News Barracuda 9. listopadu 2026 potvrdila, že chyby jsou zneužívány proti malému počtu organizací. Agentura CISA obě zranitelnosti 10. listopadu zařadila do katalogu Known Exploited Vulnerabilities.

První chyba, CVE-2026-116606, je obejití autentizace (CWE-288, CVSS 9.3). Útočník bez přihlášení může na bráně obnovit podvrženou zálohu. Druhá, CVE-2026-111560, je injekce příkazu v poli časové zóny, která se spouští s právy root a podle zpráv se týká šesti produktů Barracuda, ne jen ESG. Dohromady z nich vzniká cesta od internetu k plné kontrole nad bránou, přes kterou prochází veškerá firemní pošta.

Na jakou verzi aktualizovat? Většina zdrojů uvádí, že opravu obsahuje ESG 9.4.0.030 a novější. Jeden zdroj zmiňuje i sestavení 9.4.0.029, záznam CVE ale mluví o verzích starších než 9.4.0.030, takže za bezpečný cíl berte 9.4.0.030. Pro ostatní dotčené produkty Barracuda zatím podle dostupných zpráv uvádí jen čísla záplat, ne verze firmwaru. Oficiální upozornění výrobce proto čtěte přímo na jeho webu.

Co dělat, pokud brána běží u vás? Ověřte verzi firmwaru a nainstalujte opravu. Pokud byla brána z internetu dostupná, nespoléhejte se jen na aktualizaci: zkontrolujte, zda v systému nepřibyly neznámé zálohy, účty nebo naplánované úlohy, a zvažte výměnu klíčů a hesel, která brána používá. Zařízení, které už jednou kompromitoval útočník s právy root, samotná záplata nevyčistí.