Уязвимости Barracuda ESG уже используются в атаках: производитель подтвердил эксплуатацию как минимум в «небольшом числе организаций». Связка двух ошибок позволяет обойти авторизацию и потенциально выполнять команды с правами root на почтовом шлюзе — для российской IT-команды это повод немедленно проверить, не доступна ли административная панель ESG из интернета.
Речь идёт о CVE-2026-116606 с оценкой 9,3 по CVSS и CVE-2026-111560 с оценкой 8,6. Первую Barracuda описывает как обход авторизации до аутентификации в Email Security Gateway. Для её использования атакующему не нужна учётная запись, однако требуется доступ к административному интерфейсу устройства. Вторая ошибка — внедрение команд — затрагивает не только ESG, но и ADC, Barracuda Message Archiver, WAF, WAF Control Center и Web Security Gateway.
Как сообщает The Register, в первоначальном бюллетене Barracuda, опубликованном 2 ноября, активных атак ещё не фиксировали. Компания выпустила исправления на прошлой неделе, а позднее сообщила, что обнаружила эксплуатацию. Сколько именно организаций пострадало, вендор не раскрыл. Также неизвестно, получили ли атакующие root-доступ на конкретных устройствах, но технически такая возможность появляется при успешном объединении обеих уязвимостей.
Root-доступ к почтовому шлюзу — не просто очередной пункт в отчёте сканера. Такой узел обрабатывает корпоративную переписку и часто находится на сетевой границе. Захватив его, злоумышленник может читать или выгружать данные, менять обработку почты, устанавливать бэкдор и закрепляться в инфраструктуре. Особенно неприятно, если ESG администрируется снаружи и давно выпал из регулярного цикла обновлений.
Основатель Purplecop Security Таусиф Ахмед сформулировал приоритет без лишней теории: если административный интерфейс Email Security Gateway открыт в интернет, его следует закрыть в первую очередь. Это не заменяет патч: ограничение доступа снижает поверхность атаки для CVE-2026-116606, но не устраняет дефекты в самом продукте. В идеале админка должна быть доступна только через VPN, выделенную управляющую сеть или строго ограниченный список адресов.
История для Barracuda болезненно знакомая. В 2023 году ФБР связывало кампанию против ESG с группировкой, аффилированной с КНР: атакующие развёртывали собственное вредоносное ПО и поддерживали доступ к ценным сетям. По данным Mandiant, 27% выявленных тогда затронутых организаций относились к государственному сектору. Это не доказывает связь нынешних инцидентов с той же активностью, но хорошо объясняет интерес злоумышленников к почтовым шлюзам.
Командам эксплуатации стоит не ограничиваться установкой обновления. Нужно инвентаризировать устройства Barracuda и версии ПО, проверить, какие из перечисленных продуктов используются, убедиться в установке исправлений и закрыть внешний доступ к административным интерфейсам. После этого разумно изучить журналы управления и системные события на предмет необычных команд, новых учётных записей, изменений конфигурации и подозрительных исходящих соединений. Если есть признаки компрометации, к устройству следует относиться как к потенциально захваченному: простое обновление не удалит уже установленный бэкдор.
Для разработчиков и ИБ-подразделений инцидент напоминает о слабом месте любой «защитной коробки»: устройство, призванное фильтровать угрозы, само становится высокоценной точкой входа. Уязвимости Barracuda ESG опасны именно сочетанием предаутентификационного обхода и внедрения команд, а не только высокими баллами CVSS по отдельности. Чем больше критичных edge-устройств остаётся с публичной админкой и без проверяемого процесса патчинга, тем чаще такие цепочки будут превращаться из advisory в реальный доступ к сети.
