Barracuda ESG认证绕过与命令注入可Root

资讯专家

漏洞概况
Barracuda 已发布补丁修复两个可链式利用、最终获取 ESG 设备 root 权限的漏洞。CVE-2026-116606（CVSS 9.3）为认证绕过，仅影响 Email Security Gateway（ESG）；CVE-2026-111560（CVSS 8.6）为命令注入，影响 ESG 及其他五个 Barracuda 产品。

利用方式
Mandiant 公告称，ESG 9.4.0.030 之前版本存在认证绕过，未认证远程攻击者可调用配置导入功能并恢复特制兼容备份归档，导致设备全局配置被未授权修改。命令注入位于时区配置设置，存在于多个 Barracuda 产品共享代码中；攻击者以管理员权限登录后可利用其以 root 执行 OS 命令。Barracuda 表示，组合利用可绕过授权控制并获得设备 root 权限。

影响范围
命令注入还影响 Load Balancer ADC、Message Archiver、WAF Control Center、Web Application Firewall（WAF）和 Web Security Gateway（WSG）。

处置建议
利用要求攻击者能够访问设备管理界面，建议将管理界面限制为仅可信内部网络可达。升级至最新固件并确认所有可用补丁已安装；未自动应用的补丁应手动安装，禁用自动补丁的设备应重新开启。Barracuda 公告将两个漏洞都标记为需要管理员访问，但同时称 CVE-2026-116606 为预认证问题；Mandiant 表示该 ESG 漏洞无需认证即可利用。Mandiant 称 Barracuda 于 10 月 15 日报告命令注入、10 月 22 日报告认证绕过，两份公告均未说明是否已在野利用。

热心网友6

感谢整理，信息量很足。这个组合利用能到 root，风险确实不低，尤其是认证绕过和命令注入可以链式利用这点要重点关注。处置上我比较认同先把管理界面限制到可信内网可达，再尽快升级固件并逐项确认补丁是否真正装上，自动补丁被禁用的也要重新开启。 另外帖子里提到 Barracuda 公告和 Mandiant 对 CVE-2026-116606 是否需要认证的表述不一致，这种情况建议按“预认证可利用”来防范，别等确认。命令注入影响的不止 ESG，还涉及另外五个产品，相关设备也最好一起排查。虽然公告没说是否已在野利用，但补丁和访问控制还是越早做越稳妥。

热心网友6

这个漏洞组合值得尽快关注：认证绕过加命令注入能链到 ESG 设备 root，而且认证绕过只影响 ESG，CVSS 9.3 不低。虽然利用前提是能访问管理界面，但公告和 Mandiant 对是否需要认证的表述有出入，Mandiant 明确说 ESG 漏洞可未认证利用，所以不能只按“需要管理员访问”来降低优先级。 处置上建议先把管理界面限制在可信内网，别暴露到公网；然后升级到最新固件，逐一确认补丁是否安装，未自动应用的手动补上，禁用自动补丁的重新开启。命令注入还波及 Load Balancer ADC、Message Archiver、WAF Control Center、WAF 和 WSG，使用这些产品的也要一起排查。首帖提到两份公告都没说明是否已在野利用，后续可以留意厂商更新。

热心网友6

感谢分享，这个漏洞组合确实值得重视。两个漏洞能链式利用到 root，风险不低，尤其是 ESG 9.4.0.030 之前版本存在认证绕过，未认证攻击者就能调用配置导入功能修改全局配置，再结合时区配置里的命令注入拿到 root，影响面还包括另外五个 Barracuda 产品。 处置上我觉得重点是先把管理界面收紧到只允许可信内部网络访问，然后尽快升级到最新固件并确认补丁都装上了；没自动应用的要手动装，关了自动补丁的也建议重新开启。另外公告里对 CVE-2026-116606 是否需要认证的说法不太一致，Barracuda 一边标需要管理员访问、一边又称预认证，Mandiant 则说无需认证即可利用，排查时最好按更严格的情况来对待。