Barracuda Peringatkan Dua Celah Keamanan Kritis yang Bisa Berikan Akses Root pada Perangkat
Perusahaan keamanan siber Barracuda Networks merilis pembaruan keamanan darurat untuk mengatasi dua kerentanan serius yang dapat memungkinkan penyerang memperoleh akses root pada sejumlah perangkat keamanan jaringan.
Kerentanan yang dilacak sebagai CVE-2026-116606 dan CVE-2026-111560 tersebut memengaruhi beberapa produk Barracuda, termasuk Email Security Gateway (ESG), Web Application Firewall (WAF), dan Web Security Gateway (WSG).
Dalam security advisory yang diterbitkan pada 2 November 2026, Barracuda menjelaskan bahwa kedua celah dapat digabungkan untuk melewati mekanisme otorisasi dan menjalankan perintah sistem operasi dengan hak akses tertinggi.
Namun, eksploitasi membutuhkan akses ke antarmuka administrasi perangkat yang terdampak. Karena itu, Barracuda meminta pelanggan membatasi akses manajemen hanya dari jaringan internal atau alamat IP yang dipercaya.
Dua Kerentanan Memungkinkan Pengambilalihan Perangkat
Kerentanan pertama, CVE-2026-116606, merupakan kelemahan authorization bypass pada Barracuda Email Security Gateway.
Celah ini memiliki skor CVSS 9.3 dan memungkinkan penyerang melewati pemeriksaan otorisasi tertentu untuk mengubah konfigurasi global perangkat.
Dalam kondisi normal, perubahan konfigurasi penting seharusnya hanya dapat dilakukan melalui proses autentikasi dan otorisasi yang sesuai.
Namun, kelemahan tersebut dapat menyebabkan pembatasan akses tidak diterapkan sebagaimana mestinya.
Kerentanan kedua, CVE-2026-111560, merupakan masalah OS command injection dengan skor CVSS 8.6.
Celah ini memungkinkan pihak dengan akses administratif menyisipkan perintah sistem operasi yang kemudian dijalankan menggunakan hak akses root.
Jika kedua kerentanan digabungkan pada produk yang terdampak, penyerang berpotensi melewati pembatasan otorisasi sebelum mengeksploitasi command injection.
Akses root merupakan tingkat hak akses tertinggi pada sistem operasi berbasis Linux dan Unix, sehingga dapat memberikan kendali luas terhadap perangkat.
Meski demikian, Barracuda belum menyatakan bahwa kedua kerentanan tersebut telah dieksploitasi secara aktif dalam serangan nyata.
Enam Produk Barracuda Terdampak
Berdasarkan advisory resmi, CVE-2026-116606 hanya memengaruhi Email Security Gateway.
Sementara itu, CVE-2026-111560 memiliki cakupan lebih luas karena memengaruhi enam produk Barracuda.
Berikut rincian produk terdampak dan patch yang telah disediakan.
| Produk Barracuda | CVE Terdampak | Patch |
|---|---|---|
| Email Security Gateway (ESG) | Kedua CVE | BNSF-40425 / BNSF-40430 |
| Load Balancer ADC | CVE-2026-111560 | BNADC-16586 |
| Message Archiver (BMA) | CVE-2026-111560 | BNMA-32468 |
| WAF Control Center (WCC) | CVE-2026-111560 | BNWF-60060 |
| Web Application Firewall (WAF) | CVE-2026-111560 | BNADC-16586 |
| Web Security Gateway (WSG) | CVE-2026-111560 | BNYF-24789 |
Khusus Email Security Gateway, patch BNSF-40425 berlaku untuk perangkat dengan firmware 9.4.017 atau lebih baru.
Sementara itu, perangkat yang menggunakan firmware di bawah versi 9.4.017 memerlukan patch BNSF-40430.
Administrator perlu memastikan patch yang diterapkan sesuai dengan produk dan versi firmware yang digunakan.
Antarmuka Administrasi Menjadi Jalur Serangan
Barracuda menekankan bahwa keberhasilan eksploitasi membutuhkan akses ke antarmuka administrasi perangkat.
Artinya, perangkat dengan halaman manajemen yang terbuka langsung ke internet memiliki paparan risiko lebih besar dibandingkan perangkat yang hanya dapat dikelola melalui jaringan internal.
Namun, membatasi akses dari internet tidak sepenuhnya menghilangkan risiko apabila penyerang sudah berada di dalam jaringan perusahaan.
Untuk mengurangi kemungkinan eksploitasi, Barracuda merekomendasikan pembatasan akses melalui firewall, segmentasi jaringan, dan kebijakan kontrol akses yang sesuai.
Antarmuka administrasi sebaiknya hanya dapat dijangkau oleh administrator dari jaringan tepercaya.
Penggunaan VPN untuk pengelolaan jarak jauh juga dapat menjadi pilihan, selama akses VPN tersebut dilindungi dengan autentikasi yang kuat.
Barracuda Minta Pelanggan Segera Memasang Patch
Barracuda menyatakan telah memulai proses remediasi dan menyediakan pembaruan keamanan untuk seluruh produk yang terdampak.
Pelanggan disarankan memeriksa versi firmware melalui antarmuka administrasi masing-masing perangkat.
Jika pembaruan otomatis belum diterapkan, administrator perlu memasang patch secara manual.
Perangkat yang menggunakan firmware jauh lebih lama mungkin membutuhkan beberapa tahap pembaruan sebelum mencapai versi terbaru.
Barracuda juga merekomendasikan agar pelanggan yang sebelumnya menonaktifkan pembaruan otomatis mempertimbangkan untuk mengaktifkannya kembali.
Selain memasang patch, administrator sebaiknya memeriksa perubahan konfigurasi yang tidak dikenal, aktivitas login mencurigakan, serta akses administratif dari sumber yang tidak biasa.
Jika ditemukan indikasi kompromi, pemeriksaan forensik diperlukan untuk memastikan tidak terdapat perubahan atau akses tidak sah yang tertinggal.
Barracuda Pernah Menjadi Target Serangan Zero-Day
Peringatan terbaru ini mengingatkan pada sejumlah insiden keamanan yang sebelumnya melibatkan perangkat Barracuda Email Security Gateway.
Pada 2023, kelompok hacker yang dilacak sebagai UNC4841 mengeksploitasi kerentanan CVE-2023-2868 dalam operasi spionase siber.
Serangan tersebut memungkinkan penyerang memasang malware seperti SeaSpy dan Saltwater serta mencuri informasi dari perangkat yang dikompromikan.
Kelompok yang sama juga dikaitkan dengan eksploitasi CVE-2023-7102, kerentanan lain pada Email Security Gateway.
Namun, belum ada informasi yang menghubungkan kampanye tersebut dengan dua kerentanan yang diumumkan pada November 2026.
Kasus terbaru ini menunjukkan pentingnya perlindungan antarmuka manajemen perangkat keamanan, terutama karena perangkat seperti email gateway dan firewall sering berada pada jalur komunikasi penting perusahaan.
Administrator Barracuda disarankan segera memeriksa CVE-2026-116606 dan CVE-2026-111560, memastikan seluruh patch terpasang, serta membatasi akses administrasi untuk mencegah kemungkinan pengambilalihan perangkat dengan hak akses root.
Sumber: Barracuda Networks — Pre-Authentication Authorization Bypass and Command Injection Vulnerabilities in Certain Barracuda Products
