Кібербезпека

Barracuda попереджає: експлуатуються критичні уразливості в ESG

Barracuda Networks повідомила про активну експлуатацію двох нещодавно виправлених уразливостей в Email Security Gateway, що дають змогу отримати root-доступ.

2 хвилини читання
Barracuda попереджає: експлуатуються критичні уразливості в ESG
Фото: BleepingComputer

Barracuda Networks попередила, що зловмисники вже використовують дві щойно виправлені уразливості в Email Security Gateway (ESG), які дозволяють виконувати команди з привілеями root. Компанія випустила оновлення безпеки тиждень тому та зафіксувала атаки на обмежену кількість клієнтів.

Що сталося

Уразливості відстежуються як CVE-2026-116606 та CVE-2026-111560. Перша пов’язана зі слабкістю автентифікації в ESG, що дає змогу змінювати глобальну конфігурацію пристрою. Друга дозволяє неавтентифікованим нападникам ін’єктувати команди ОС, які виконуються з правами root. За даними компанії, комбінована експлуатація дає змогу обійти авторизацію та отримати повний контроль над пристроєм.

Які продукти вразливі та патчі

Barracuda надала оновлення для низки продуктів. Зазначено такі відповідності:

  • Email Security Gateway (ESG): уразливі до обох CVE; патчі BNSF-40425 (9.4.017+) та BNSF-40430 (<9.4.017)
  • Load Balancer ADC: уразливий лише до CVE-2026-111560; патч BNADC-16586
  • Message Archiver (BMA): уразливий лише до CVE-2026-111560; патч BNMA-32468
  • WAF Control Center (WCC): уразливий лише до CVE-2026-111560; патч BNWF-60060
  • Web Application Firewall (WAF): уразливий лише до CVE-2026-111560; патч BNADC-16586
  • Web Security Gateway (WSG): уразливий лише до CVE-2026-111560; патч BNYF-24789

Доступ до Admin UI — ключова умова атаки

За словами Barracuda, успішна експлуатація потребує доступу до адміністративного інтерфейсу (Admin UI) цільових пристроїв. Компанія радить обмежити доступ до нього лише довіреним внутрішнім мережам і застосовувати контроль мережевого доступу, щоб мінімізувати експозицію.

Що робити клієнтам

Barracuda каже, що ініціювала повне усунення наслідків і випустила лати для всіх постраждалих продуктів. Хто не отримав автоматичне оновлення, має застосувати патчі вручну якомога швидше. Якщо автоматичні оновлення вимкнено, компанія рекомендує знову ввімкнути їх для подальших виправлень.

Контекст: попередні атаки на Barracuda ESG

У 2023 році група UNC4841 експлуатувала інші нульові дні в Barracuda ESG (CVE-2023-7102 та CVE-2023-2868), зокрема для кібершпигунства. Згодом з’ясувалося, що принаймні одну з уразливостей використовували щонайменше сім місяців, починаючи з жовтня 2022 року, щоб розгортати невідоме раніше ПЗ SeaSpy і Saltwater та викрадати дані. За даними Mandiant, майже третина тодішніх зламів припала на державні установи.

Джерела

Читайте також