Barracuda 警告可让攻击者获得设备 root 权限的严重漏洞

网络安全公司 Barracuda Networks 警告客户修补两个可让攻击者以 root 权限运行命令的漏洞。

第一个是严重漏洞（CVE-2026-116606），源于 Email Security Gateway（ESG）的一个身份验证弱点，攻击者可利用它修改设备的全局配置；第二个（CVE-2026-111560）允许拥有管理员权限的威胁行为者注入以 root 身份运行的操作系统命令。

不过，Barracuda 表示，成功利用这两个漏洞还需要访问目标设备的管理界面，并建议客户使用适当的网络访问控制，将访问限制在可信的内部网络，以限制暴露面。

"成功利用需要攻击者能够访问受影响产品的管理界面。如果组合利用，这些漏洞可能使攻击者绕过授权控制并获得设备的 root 访问权限，" 该公司解释道。

"Barracuda 立即启动了全面的修复流程，并为受影响产品发布了安全补丁。客户应查看受影响的产品和修复指南 [..]，确保其系统运行最新固件版本，并已应用所有安全补丁。"

所有受影响设备及可用安全补丁的完整列表见下表。

受影响产品 | CVE-2026-116606 | CVE-2026-111560 | 补丁
Email Security Gateway（ESG） | 是 | 是 | BNSF-40425（9.4.017+）、BNSF-40430（<9.4.017）
Load Balancer ADC | 否 | 是 | BNADC-16586
Message Archiver（BMA） | 否 | 是 | BNMA-32468
WAF Control Center（WCC） | 否 | 是 | BNWF-60060
Web Application Firewall（WAF） | 否 | 是 | BNADC-16586
Web Security Gateway（WSG） | 否 | 是 | BNYF-24789

三年前，Barracuda 还修补过一个 Email Security Gateway 漏洞（CVE-2023-7102），当时黑客组织 UNC4841 在零日攻击中利用它对未修补的设备执行任意代码。

同年，UNC4841 黑客滥用另一个零日漏洞（CVE-2023-2868）攻击 Barracuda ESG 设备，作为网络间谍攻击的一部分。

Barracuda 后来披露，该漏洞已被利用至少七个月——至少自 2022 年 10 月起——用于部署此前未知的 SeaSpy 和 Saltwater 恶意软件，并从被攻陷的系统中窃取数据。

据网络安全公司 Mandiant 称，在 2023 年那场攻击中被入侵的设备中，近三分之一属于全球政府机构，其中大多数在 2022 年 10 月至 12 月间被入侵。

Barracuda 成立于 2003 年，在全球拥有超过 20 万客户，包括中小型企业（SMB）、大型企业和托管服务提供商（MSP）。