Aktivně zneužívané CVSS 9,3 Aktuálně

Barracuda Email Security Gateway: útočníci zneužívají řetězec chyb, který vede k rootu

Barracuda 9. listopadu 2026 doplnila do bezpečnostního oznámení, že zaznamenala zneužití dvou chyb u malého počtu organizací. Spojením obejití přihlášení (CVE-2026-116606) a vložení příkazu (CVE-2026-111560) může útočník získat na zařízení práva roota. Pokud spravujete Barracuda ESG nebo jiné zařízení Barracuda z oznámení, ověřte opravy hned.

Redakce Kyberkitu · 10. listopadu 2026 · událost ze dne 9. listopadu 2026 · čtení na 5 minut · Pro správce a analytiky

Aktivně zneužívané: Barracuda ESG, CVE-2026-116606, CVSS 9,3

Ve zkratce

CVE-2026-116606 (CVSS 4.0: 9,3) umožní útočníkovi bez přihlášení obejít autorizaci v Barracuda Email Security Gateway (ESG) a nahrát upravenou zálohu konfigurace. Podle NVD jsou zasažené verze starší než 9.4.0.030.
CVE-2026-111560 (CVSS 4.0: 8,6) je vložení příkazu přes pole s časovým pásmem, které se spustí s právy roota. Kromě ESG se týká i Load Balancer ADC, Message Archiver, WAF, WAF Control Center a Web Security Gateway.
Barracuda oznámení vydala 2. 11. a 9. 11. doplnila, že útoky zasáhly malý počet organizací. Indikátory napadení nezveřejnila. CISA obě chyby 10. 11. zařadila do katalogu KEV s termínem opravy pro federální úřady USA už 13. 11.
Ověřte, že zařízení má nejnovější firmware a záplaty (ESG: BNSF-40425 nebo BNSF-40430), a nepouštějte správcovské rozhraní z internetu.

Zranitelnosti: CVE-2026-116606, CVE-2026-111560

Co se stalo

Barracuda 2. listopadu 2026 zveřejnila bezpečnostní oznámení o dvou chybách ve svých zařízeních. 9. listopadu (večer amerického času) ho doplnila o informaci, že zaznamenala zneužití u malého počtu organizací. Spojením obou chyb podle výrobce může útočník obejít kontrolu oprávnění a získat na zařízení práva roota.

Nejvíc je zasažená Barracuda Email Security Gateway (ESG) – poštovní brána, která stojí mezi internetem a firemní poštou a vidí veškerý příchozí i odchozí e-mail. U ní jsou obě chyby. Druhá chyba se týká i dalších zařízení Barracuda.

Položka	CVE-2026-116606	CVE-2026-111560
Typ	obejití autorizace bez přihlášení	vložení příkazu do OS
CVSS 4.0	9,3	8,6
Zařízení	jen ESG	ESG, Load Balancer ADC, Message Archiver, WAF, WAF Control Center, Web Security Gateway
Podmínka	přístup ke správcovskému rozhraní	práva správce
Zneužívání	ano, malý počet organizací (Barracuda, 9. 11.)	ano, v řetězci (Barracuda, 9. 11.)
CISA KEV	ano, od 10. 11. (termín 13. 11.)	ano, od 10. 11. (termín 13. 11.)

Technické podrobnosti

CVE-2026-116606 je podle záznamu v NVD a oznámení Mandiantu obejití autentizace (CWE-288). Útočník bez přihlášení se dostane k funkci pro import konfigurace, nahraje upravenou, ale kompatibilní zálohu a změní tím globální nastavení zařízení. Barracuda 5. listopadu upřesnila, že chyba přihlášení nevyžaduje, potřebuje ale přístup ke správcovskému rozhraní.

CVE-2026-111560 je vložení příkazu do operačního systému (CWE-78). Správce může do pole s časovým pásmem zadat hodnotu, kterou zařízení při zpracování předá do příkazového řádku a spustí s právy roota. Sama o sobě vyžaduje práva správce – jenže ta si útočník zajistí první chybou.

Výzkumníci z watchTowr Labs chyby 5. listopadu rozebrali na opravě. Podle nich přihlašovací stránka po neúspěšném pokusu o změnu hesla neukončí zpracování požadavku, takže pokračuje s omezenou rolí přihlašovací obrazovky. Ta stačí k obnovení zálohy. Hodnota časového pásma ze zálohy pak doputuje do skriptů, které ji vloží do příkazu spouštěného přes sudo. Kontrolní součet zálohy podle watchTowr nepoužívá žádné tajemství, takže ho útočník spočítá sám. Návod ke zneužití nezveřejňujeme.

Jak se dvě chyby spojí v převzetí zařízení (Barracuda, NVD, watchTowr)

Koho se to týká

Barracuda Email Security Gateway – obě chyby. NVD a Mandiant uvádějí verze starší než 9.4.0.030. Barracuda vydala záplaty BNSF-40425 (pro verze 9.4.017 a novější) a BNSF-40430 (pro starší verze).
Load Balancer ADC a Web Application Firewall – CVE-2026-111560, záplata BNADC-16586.
Message Archiver (BMA) – CVE-2026-111560, záplata BNMA-32468.
WAF Control Center – CVE-2026-111560, záplata BNWF-60060.
Web Security Gateway – CVE-2026-111560, záplata BNYF-24789.

Nejvíc ohrožená jsou zařízení, jejichž správcovské rozhraní je dostupné z internetu. U ostatních zařízení než ESG vyžaduje zneužití práva správce, protože první chyba se jich netýká.

Jak poznat napadení

Barracuda nezveřejnila indikátory napadení – IP adresy, otisky souborů ani popis aktivity útočníků po průniku. Ani watchTowr indikátory neuvádí.

Co doporučujeme zkontrolovat (vlastní doporučení, ne pokyn výrobce):

Obnovení zálohy a změny konfigurace, které nikdo z vás neprováděl, zvlášť od konce října. V auditních záznamech zařízení hledejte import konfigurace a změnu časového pásma.
Přístupy ke správcovskému rozhraní z neznámých adres ve firewallu nebo na reverzní proxy.
Neobvyklou odchozí komunikaci samotného zařízení (spojení na adresy, které nepatří Barracudě ani vašim poštovním serverům).
Pravidla pošty: nová přesměrování, výjimky z kontroly nebo kopie zpráv na cizí adresy.

Pokud najdete něco podezřelého, kontaktujte podporu Barracudy (support@barracuda.com) a zařízení považujte za napadené – útočník s rootem na poštovní bráně může číst e-maily a měnit nastavení. Indikátory, které výrobce nebo CERT zveřejní později, si ze zprávy vytáhnete v našem extraktoru IOC. Skóre z vektoru si ověříte v CVSS kalkulačce.

Co udělat

Ověřte firmware a záplaty. Zařízení samo ukazuje nejnovější dostupnou verzi. U ESG musí být nasazená BNSF-40425, nebo BNSF-40430 u verzí starších než 9.4.017.
Nasaďte záplaty ručně, pokud se nenainstalovaly samy, a zapněte automatické záplatování, pokud ho máte vypnuté.
Zastaralý firmware: když je zařízení o několik verzí pozadu, může být potřeba víc aktualizací za sebou. Barracuda pro tento případ doporučuje kontaktovat podporu.
Omezte správcovské rozhraní na důvěryhodnou vnitřní síť a řiďte přístup k němu síťovými pravidly.
Po opravě zkontrolujte body z oddílu Jak poznat napadení. Záplata zavře díru, ale neodstraní, co tam útočník případně nechal.

Časová osa

Od nahlášení po potvrzené zneužití (Mandiant, Barracuda, NVD, watchTowr)

Aktualizace

10. 11. 2026, večer – CISA zařadila CVE-2026-116606 i CVE-2026-111560 do katalogu známých zneužívaných zranitelností (KEV). Federální úřady USA je musí opravit do 13. 11. 2026, tedy rychleji než obvyklé tři týdny. CISA u obou uvádí, že je lze spojit do řetězce. Použití při ransomwaru katalog vede jako neznámé. Barracuda ani Mandiant indikátory napadení stále nezveřejnili.
10. 11. 2026 – první verze článku.

Časté otázky

Je moje zařízení opravené automaticky?

Barracuda v oznámení neuvádí, že se záplaty nasadily všem samy. Doporučuje ručně nasadit každou záplatu, která se nenainstalovala automaticky, a zapnout automatické záplatování, pokud ho máte vypnuté. Verzi a dostupné aktualizace ukazuje samo zařízení.

Stačí, že správcovské rozhraní není vidět z internetu?

Snižuje to riziko, protože k zneužití je podle Barracudy potřeba přístup ke správcovskému rozhraní. Útočník ale může přijít i z vnitřní sítě, například z dříve napadeného počítače. Záplatu proto nasaďte i tak.

Týká se to cloudové služby Barracuda Email Protection?

Oznámení jmenuje jen zařízení: Email Security Gateway, Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall a Web Security Gateway. Cloudové služby v něm nejsou.

Kdo za útoky stojí?

Barracuda to neuvedla. Potvrdila jen, že zaznamenala zneužití u malého počtu organizací.

Zdroje

Našli jste v článku chybu? Dejte nám vědět, opravu vyznačíme.