Barracuda ESGのCVE-2026-116606はCritical―認証回避とコマンド注入の連鎖に対処
管理画面へ到達できる攻撃者が、2件の不備を組み合わせてroot権限を得るおそれ。ファームウェアと製品別パッチの適用状況を確認します。
メーカーの告知日：2026-11-02 / 公開： / 更新： / 最終確認：
Codingholic 編集部 · 約2分
Barracudaは2026年11月2日、Email Security Gateway（ESG）などの脆弱性と修正を公表しました。CVE-2026-116606はMandiantのCVSS v4.0評価で9.3、Criticalです。メーカー独自の深刻度表記はHighで、評価区分が異なります。
CVE-2026-116606はESG 9.4.0.030未満の認証回避です。管理インターフェースへ到達できる攻撃者が、ログインせずに細工したバックアップを読み込ませ、機器全体の設定を変更できます。別のCVE-2026-111560は、管理者権限を持つ攻撃者によるコマンド注入で、CVSS v4.0は8.6、Highです。
メーカーは、ESGで両者を組み合わせると認証を回避してroot権限を得るおそれがあると説明しています。後者だけが影響するADC、Message Archiver、WAF Control Center、WAF、Web Security Gatewayまで、同じ認証不要の条件と扱うことはできません。告知に実際の悪用事例の記載はありません。
対処は最新ファームウェアへの更新と、製品別セキュリティパッチの適用です。ESGにはBNSF-40425／BNSF-40430が案内されており、自動適用を停止している環境は手動適用が必要です。管理画面を信頼する内部ネットワークに制限し、機器上で更新とパッチの両方を確認してください。
出典と編集について
Barracuda Networks：Pre-Authentication Authorization Bypass and Command Injection Vulnerabilities in Certain Barracuda Products ↗本記事は公表資料に基づく速報です。判明した範囲を記載しており、続報で内容が変わる場合があります。