バラクーダが危険度9.3の脆弱性でパッチ公開　root奪取の恐れ、管理画面を点検せよ

　バラクーダ・ネットワークス（Barracuda Networks）は11月2日、メールセキュリティゲートウェイ（ESG）など複数製品の管理画面に関わる脆弱性2件を公表し、修正パッチを公開した。

　公表されたのは、認可回避の脆弱性「CVE-2026-116606」と、OSコマンドインジェクションの脆弱性「CVE-2026-111560」。共通脆弱性評価システム（CVSS）のスコアは、前者が9.3、後者が8.6だった。同社は、2件を組み合わせて悪用された場合、認可の制御を回避したうえでデバイスのroot権限を取得される可能性があると説明している。

　CVE-2026-116606の影響を受けるのはESGのみ。CVE-2026-111560はESGのほか、ロードバランサADC、メッセージアーカイバ（BMA）、WAFコントロールセンター（WCC）、Webアプリケーションファイアウォール（WAF）、Webセキュリティゲートウェイ（WSG）にも及ぶ。

　修正パッチの番号は、ESGが9.4.017以降なら「BNSF-40425」、9.4.017未満なら「BNSF-40430」。ADCとWAFは「BNADC-16586」、BMAは「BNMA-32468」、WCCは「BNWF-60060」、WSGは「BNYF-24789」となる。

　悪用には、攻撃者が対象製品の管理画面にアクセスできることが必要だという。同社は、管理画面がインターネットから見えない組織は影響を受けにくいとして、管理画面へのアクセスを信頼できる内部ネットワークに限り、ネットワークのアクセス制御で露出を抑えるよう推奨している。

　あわせて、ファームウェアを最新に保ち、パッチが自動で適用されていなければ手動で適用するよう呼びかけた。自動パッチを無効にしている場合は、自動で受信する設定に戻すことも勧めている。ファームウェアが複数版古いときは、更新を複数回行う必要がある場合もある。

　同社の公表文には、2件が実際の攻撃に悪用されたとの記載はない。