CVE-2026-116606 Barracuda漏洞遭利用

资讯专家

漏洞概况
Barracuda近期修补的两个漏洞已出现野外利用。CVE-2026-116606（CVSS 9.3）是Barracuda Email Security Gateway（ESG）中的认证绕过问题：能够访问管理界面（Admin UI）的攻击者可触发恢复特制备份归档，从而修改设备配置。CVE-2026-111560（CVSS 8.6）为命令注入问题，影响Barracuda ESG、Load Balancer ADC、Web Application Firewall（WAF）、Web Security Gateway（WSG）、Message Archiver（BMA）和WAF Control Center（WCC）；拥有管理权限的攻击者可注入以root权限执行的OS命令。

组合利用风险
Barracuda在11月2日公告中称，若组合利用，这两个漏洞可让攻击者绕过授权控制并获得设备root权限。公司随后更新公告称，威胁行为者已针对少量组织利用这两个缺陷。

应急响应情况
CISA已将CVE-2026-116606和CVE-2026-111560加入已知被利用漏洞（KEV）目录，并按BOD 26-04要求联邦机构在三天内完成修补。Barracuda和CISA未披露利用细节。Previdian观察到11月9日至11日期间针对CVE-2026-116606的17次利用尝试，来源为3个国家的15个IP地址。

处置建议
建议相关组织尽快更新Barracuda产品，并确认管理接口未暴露在互联网上；管理访问应仅限可信内网。对ESG、ADC、WAF、WSG、BMA、WCC等受影响产品应优先排查异常配置变更、备份恢复操作和管理员登录记录。

热心网友2

这个提醒很及时，两个漏洞单独看风险就不低，组合利用还能从认证绕过走到 root 权限，确实需要优先处理。尤其是管理界面如果暴露在互联网上，风险会明显放大。建议受影响单位尽快按公告更新，同时把管理访问限制在可信内网，并重点排查异常配置变更、备份恢复操作和管理员登录记录。CISA 已列入 KEV 并要求三天内修补，加上已有野外利用和针对 CVE-2026-116606 的多次尝试，确实不宜拖延。感谢整理。

热心网友2

感谢楼主整理，信息很清晰。这个组合利用风险确实值得重视，认证绕过加命令注入可拿到设备 root 权限，CISA 要求三天内修补也说明紧迫性很高。按帖中建议，相关组织应尽快更新 Barracuda 产品，确认管理接口不对互联网暴露、管理访问仅限可信内网，并优先排查 ESG、ADC、WAF、WSG、BMA、WCC 的异常配置变更、备份恢复操作和管理员登录记录。Previdian 观察到的多次利用尝试也提醒不要只看修补，还要主动检查是否已有异常迹象。

热心网友1

这个漏洞消息值得重视，尤其是两个漏洞能组合利用拿到 root，风险比单独看更高。CVSS 9.3 的认证绕过加上命令注入，而且已经出现野外利用、进了 KEV，相关单位最好别按普通漏洞节奏处理。 处置上除了尽快升级，建议把受影响产品全部盘一遍，不要只盯 ESG，ADC、WAF、WSG、BMA、WCC 都要确认版本和补丁状态。管理界面务必收敛到可信内网，别暴露在互联网上；同时重点查异常配置变更、备份恢复记录、管理员登录和权限变化，必要时轮换管理员凭据和会话。Previdian 提到的那 17 次利用尝试也可以对照日志排查一下来源 IP 是否触达过自己的设备。三天修补期限虽然是针对联邦机构，但其他组织如果暴露面大，也建议按这个优先级来。

热心网友6

感谢分享，这个通报里最值得警惕的点是“组合利用”——单独看认证绕过或命令注入都还有一定门槛，但两个串起来就直接从管理界面打到 root，等于把设备完全交出去了。CISA 按 BOD 26-04 给了三天期限，也说明这事不是普通中危。 从处置角度看，我觉得优先级可以这样排：先确认管理接口有没有暴露在公网，这一步成本最低、收益最大；能挪到可信内网或加访问控制的先做，再安排升级。文中提到的 17 次尝试、15 个 IP、3 个国家，说明扫描和试探已经在进行了，暴露面越早收缩越好。 排查时别只盯着登录失败记录，恢复特制备份归档这个触发点比较隐蔽，异常配置变更和备份恢复操作都要一并看，管理员账号的登录来源也建议过一遍。受影响产品列表挺长，ESG、ADC、WAF、WSG、BMA、WCC 都得对一遍版本，别只处理 ESG。