Две уязвимости Barracuda могут дать атакующему возможность выполнять команды с правами root на сетевых устройствах компании. Для эксплуатации нужен доступ к административному интерфейсу, но для организаций с открытыми или слабо сегментированными панелями управления это не успокаивающая оговорка, а прямой повод проверить прошивки и правила доступа.
Компания Barracuda Networks выпустила обновления для затронутых продуктов и призвала клиентов установить их как можно скорее, сообщает BleepingComputer. Одна проблема, CVE-2026-116606, имеет критический уровень опасности и связана со слабостью аутентификации в Email Security Gateway (ESG). Она позволяет изменить глобальную конфигурацию устройства. Вторая — CVE-2026-111560 — доступна пользователю с административными правами и позволяет внедрить команды операционной системы, которые будут выполнены от имени root.
По отдельности эти ошибки уже неприятны: первая помогает обойти часть ограничений авторизации, вторая превращает административный доступ в контроль над базовой ОС устройства. Вместе они формируют более опасную цепочку: атакующий с доступом к веб-интерфейсу может обойти механизмы разграничения прав и получить полный контроль над appliance. Root-доступ означает возможность менять настройки, устанавливать постороннее ПО, извлекать данные и использовать устройство как точку закрепления внутри сети.
Критическая CVE-2026-116606 затрагивает только Email Security Gateway. Вторая проблема шире: кроме ESG, она касается Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall и Web Security Gateway. Для ESG Barracuda указала исправления BNSF-40425 и BNSF-40430; для остальных продуктов доступны патчи BNADC-16586, BNMA-32468, BNWF-60060 и BNYF-24789 в зависимости от линейки. Владельцам таких устройств недостаточно просто убедиться, что веб-консоль не видна из интернета: стоит проверить фактическую версию firmware, применённые security-патчи и круг пользователей с правами администратора.
Вендор отдельно подчёркивает, что успешная атака требует доступа к административному интерфейсу. На практике это оставляет несколько типичных сценариев: опубликованная наружу консоль управления, доступ через VPN с избыточными правами, скомпрометированная учётная запись администратора или проникновение во внутреннюю сеть через другой узел. Для инфраструктуры с почтовым шлюзом риск особенно чувствителен: такие устройства стоят на пересечении внешнего почтового трафика, политик фильтрации и внутренних сервисов.
У Barracuda уже был тяжёлый урок с ESG. В 2023 году группировка UNC4841 эксплуатировала уязвимость нулевого дня CVE-2023-7102 для выполнения произвольного кода на непропатченных устройствах. Тогда же злоумышленники использовали ещё одну zero-day — CVE-2023-2868 — в операциях кибершпионажа против ESG. Позднее Barracuda сообщила, что атаки продолжались как минимум семь месяцев, с октября 2022 года: на скомпрометированные системы устанавливали ранее неизвестные вредоносные программы SeaSpy и Saltwater, а данные похищали. По оценке Mandiant, почти треть взломанных в той кампании устройств принадлежала государственным организациям по всему миру.
Для российских команд эта история не только о конкретном американском вендоре. Любой security appliance часто воспринимают как готовую защиту, а его административную панель — как второстепенную техническую деталь. Но именно такие узлы обычно имеют широкие права, доступ к чувствительному трафику и обновляются реже, чем серверы приложений. Инвентаризация устройств, закрытый административный контур, многофакторная аутентификация, отдельные учётные записи и контроль журналов входа здесь важны не меньше, чем установка патча.
Уязвимости Barracuda снова показывают неудобную закономерность: уязвимый периметровый appliance может быть не просто входной точкой, а полноценным плацдармом для атаки. Компания обслуживает более 200 тысяч клиентов, включая малый бизнес, корпорации и провайдеров управляемых услуг; поэтому скорость обновления в ближайшие дни будет зависеть не только от ИБ-команд, но и от того, насколько хорошо у организаций вообще устроено управление парком сетевой техники.
