Barracuda Networks mengonfirmasi bahwa pelaku mulai mengeksploitasi dua celah pada Email Security Gateway (ESG) yang dapat dirangkai untuk memperoleh akses root. Dalam pembaruan advisori 9 November 2026, perusahaan menyebut aktivitas eksploitasi berdampak pada sejumlah kecil organisasi. Patch sudah tersedia sejak pengungkapan awal pada 2 November.
Antarmuka administrasi menjadi jalur serangan
Dua celah tersebut adalah CVE-2026-116606 dan CVE-2026-111560. Celah pertama memungkinkan pelaku melewati kontrol otorisasi sebelum autentikasi pada ESG. Pelaku tetap harus dapat menjangkau antarmuka administrasi perangkat. Celah kedua merupakan injeksi perintah sistem operasi yang, menurut advisori Barracuda, memerlukan akses administratif.
Jika digabungkan, keduanya dapat memungkinkan pelaku melewati kontrol akses dan memperoleh kendali root. Perbedaan persyaratan ini menjadi penting ketika menilai paparan perangkat. Barracuda memperbarui keterangan CVE-2026-116606 pada 5 November untuk menegaskan bahwa autentikasi tidak diperlukan, tetapi antarmuka administrasi harus dapat diakses penyerang.
Patch tersedia untuk enam lini produk
ESG terdampak kedua CVE. Barracuda mencantumkan patch BNSF-40425 untuk versi 9.4.017 ke atas dan BNSF-40430 untuk versi yang lebih lama. CVE-2026-111560 juga memengaruhi Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall, dan Web Security Gateway.
Patch yang tercantum untuk produk lain adalah BNADC-16586 bagi ADC dan WAF, BNMA-32468 bagi Message Archiver, BNWF-60060 bagi WAF Control Center, serta BNYF-24789 bagi Web Security Gateway. Administrator perlu memastikan firmware dan patch keamanan perangkat sudah diperbarui. Perangkat dengan firmware yang tertinggal beberapa versi mungkin memerlukan lebih dari satu pembaruan.
Barracuda meminta pelanggan memeriksa pemasangan patch
Jika patch belum terpasang otomatis, Barracuda meminta pelanggan memasangnya secara manual sesegera mungkin. Perusahaan juga menyarankan aktivasi penerimaan patch otomatis dan pembatasan antarmuka administrasi ke jaringan internal tepercaya, disertai kontrol akses jaringan.
ESG sebelumnya menjadi sasaran kampanye spionase pada 2023. Kelompok UNC4841 memanfaatkan CVE-2023-2868 dan CVE-2023-7102 untuk menyusupi perangkat. Dalam kampanye terdahulu itu, penyerang menggunakan malware seperti SeaSpy dan Saltwater untuk mencuri data. Barracuda belum mengaitkan eksploitasi terbaru dengan kelompok tersebut.
Sumber: Barracuda Networks – Pre-Authentication Authorization Bypass and Command Injection Vulnerabilities in Certain Barracuda Products
