黑客现已利用 Barracuda ESG 严重漏洞获取 root 权限

网络安全公司 Barracuda Networks 警告称，攻击者已开始利用两个近期修补的 Email Security Gateway（ESG）漏洞，这些漏洞可让他们以 root 权限运行命令。

Barracuda 于一周前发布了修复这两个缺陷（追踪为 CVE-2026-116606 和 CVE-2026-111560）的安全更新。

第一个源于 Email Security Gateway（ESG）的身份验证弱点，可被利用来修改设备的全局配置；第二个则允许未认证的攻击者注入以 root 权限执行的操作系统命令。

Barracuda 还表示，成功的攻击需要访问目标设备的管理用户界面（Admin UI），并建议客户将访问限制在可信的内部网络，并使用适当的网络访问控制来限制暴露。

"成功利用需要攻击者能够访问受影响产品的管理界面。如果组合利用，这些漏洞可能使攻击者绕过授权控制并获得设备的 root 访问权限，" 该公司解释道。

周一晚间，Barracuda 更新了最初的公告，警告管理员这两个漏洞正在针对少数客户的攻击中被利用。

"Barracuda 立即启动了全面的修复流程，并为受影响产品发布了安全补丁。我们已发现影响少数组织的利用活动，" 它警告道。

"如果补丁尚未自动应用，客户应尽快手动应用适当的补丁。如果客户已关闭自动补丁，Barracuda 建议将设备设置为自动接收补丁。"

下方嵌入的表格列出了所有受影响的设备和可用的安全补丁。

受影响产品 | CVE-2026-116606 | CVE-2026-111560 | 补丁
Email Security Gateway（ESG） | 是 | 是 | BNSF-40425（9.4.017+）、BNSF-40430（<9.4.017）
Load Balancer ADC | 否 | 是 | BNADC-16586
Message Archiver（BMA） | 否 | 是 | BNMA-32468
WAF Control Center（WCC） | 否 | 是 | BNWF-60060
Web Application Firewall（WAF） | 否 | 是 | BNADC-16586
Web Security Gateway（WSG） | 否 | 是 | BNYF-24789

三年前，Barracuda 修补了另一个 Email Security Gateway 缺陷（CVE-2023-7102），黑客组织 UNC4841 在零日攻击中利用它执行任意代码。同年，UNC4841 滥用另一个零日漏洞（CVE-2023-2868）攻击 Barracuda ESG 设备，作为一系列网络间谍攻击的一部分。

该公司后来披露，该漏洞作为零日漏洞被利用至少七个月——至少自 2022 年 10 月起——用于投放此前未知的 SeaSpy 和 Saltwater 恶意软件，并从被攻陷的设备窃取数据。

据网络安全公司 Mandiant 称，2023 年那场攻击中被入侵的系统有近三分之一属于政府机构，其中大多数在 2022 年 10 月至 12 月间被入侵。

Barracuda 成立于 2003 年，目前在全球拥有超过 20 万客户，包括中小型企业（SMB）、大型企业和托管服务提供商（MSP）。