Кібербезпека

Barracuda випустила патчі для двох вразливостей, одна — критична

Barracuda Networks попередила клієнтів про дві вразливості, що можуть дати зловмисникам права root, і закликала терміново встановити оновлення.

2 хвилини читання
Barracuda випустила патчі для двох вразливостей, одна — критична
Фото: BleepingComputer

Barracuda Networks повідомила про дві небезпечні вразливості у своїх пристроях і закликала клієнтів негайно встановити виправлення. Одна з них має критичний рівень і стосується Email Security Gateway (ESG).

Що сталося

За даними компанії, критична вада CVE-2026-116606 у ESG виникає через слабкість автентифікації та може дозволити змінювати глобальну конфігурацію пристрою. Друга проблема, CVE-2026-111560, дає змогу зловмиснику з наявними правами адміністратора впроваджувати команди ОС, що виконуються з привілеями root.

Barracuda уточнює, що для успішної експлуатації потрібен доступ до адміністративних інтерфейсів уражених пристроїв. У поєднанні ці вади можуть допомогти обійти механізми авторизації та отримати повний контроль над пристроєм.

Які продукти вразливі та які патчі доступні

  • Email Security Gateway (ESG): CVE-2026-116606 і CVE-2026-111560 — патчі BNSF-40425 (версії 9.4.017+) і BNSF-40430 (для версій нижче 9.4.017)
  • Load Balancer ADC: CVE-2026-111560 — патч BNADC-16586
  • Message Archiver (BMA): CVE-2026-111560 — патч BNMA-32468
  • WAF Control Center (WCC): CVE-2026-111560 — патч BNWF-60060
  • Web Application Firewall (WAF): CVE-2026-111560 — патч BNADC-16586
  • Web Security Gateway (WSG): CVE-2026-111560 — патч BNYF-24789

За даними компанії, розгортання виправлень уже розпочато, і клієнтам слід переконатися, що пристрої працюють на останній версії прошивки та мають встановлені всі оновлення безпеки.

Як знизити ризики

Barracuda рекомендує обмежити доступ до адміністративних інтерфейсів за допомогою мережевих політик та дозволяти його лише з довірених внутрішніх мереж. Це зменшує шанси на експлуатацію вразливостей навіть до встановлення оновлень.

Контекст: попередні атаки на ESG

У 2023 році група UNC4841 використовувала нульовий день (CVE-2023-2868), щоб атакувати ESG у межах кібершпигунських кампаній. Тоді ж Barracuda виправила ще одну ваду в ESG (CVE-2023-7102), яку також застосовували у нульових днях. За оцінкою Mandiant, майже третина зламаних у 2023-му пристроїв належала державним установам по всьому світу.

Джерела

Читайте також