Barracuda ESG ― 連鎖でroot権限を奪える2件の脆弱性を修正

要点

Barracuda Email Security Gateway（ESG）：両方の脆弱性の影響を受ける。Barracudaの技術文書では「ESGの全バージョン」が対象（Barracuda Campus）。
Load Balancer ADC、Message Archiver、WAF Control Center、Web Application Firewall、Web Security Gateway：コマンドインジェクション（CVE-2026-111560）のみ影響を受ける（Barracudaの勧告）。

何が起きているか

事実（Barracuda、Mandiant、報道）

Barracudaは2026年11月2日、2件の脆弱性の勧告を公開した。どちらも、攻撃者が対象製品の管理画面にアクセスできることが前提で、組み合わせると「認可の制御を回避して機器のroot権限を得られる」と説明している。

CVE	内容	CVSS（Barracuda）	対象製品
CVE-2026-116606	認証前の認可回避	9.3	ESGのみ
CVE-2026-111560	コマンドインジェクション	8.6	ESG、ADC、BMA、WCC、WAF、WSG

2件を発見して報告したMandiantの勧告によると、CVE-2026-116606は、認証されていない攻撃者が設定のインポート機能を呼び出し、細工したバックアップを復元させて、機器全体の設定を書き換えられるというもの。対象は「ESG 9.4.0.030より前」で、Mandiantは認証なしで悪用できるとしている（MNDT-2026-0042）。
一方、Barracudaの勧告は同じCVE-2026-116606を「認証前（Pre-Authentication）」と呼びつつ、「認証の要否」の欄には「必要（管理者アクセス）」と書いており、表記が食い違っている（SecurityWeekも同じ点を指摘）。
報道によると、CVE-2026-111560はタイムゾーン設定の処理にあり、複数製品で共通のコードに含まれる。管理者としてログインした攻撃者が、OSコマンドをrootとして実行できる（SecurityWeek）。
Mandiantによると、コマンドインジェクションは10月15日、認証回避は10月22日にBarracudaへ報告された。
2026年11月5日時点で、BarracudaとMandiantの勧告はどちらも悪用の有無に触れておらず、CISAのKEVにも登録されていない。

製品	CVE-2026-116606	CVE-2026-111560	パッチ（Barracuda）
Email Security Gateway（ESG）	影響あり	影響あり	BNSF-40425（9.4.017以降）、BNSF-40430（9.4.017より前）
Load Balancer ADC	なし	影響あり	BNADC-16586
Message Archiver（BMA）	なし	影響あり	BNMA-32468
WAF Control Center（WCC）	なし	影響あり	BNWF-60060
Web Application Firewall（WAF）	なし	影響あり	BNADC-16586
Web Security Gateway（WSG）	なし	影響あり	BNYF-24789

ESGの修正版について、Barracuda Campusの文書は「9.4.0.029 に修正が含まれる」とし、9.1〜9.4.0.027向けにも更新を出したとしている。Mandiantは影響範囲を「9.4.0.030より前」と書いており、両者の数字は一致していない。

修正：最新のファームウェアに更新し、勧告にあるパッチがすべて当たっていることを確認する（Barracuda）。ESGはBarracuda Campusの手順で 9.4.0.029 以降を確認する。9.1より古い版からは一度に上げられず、2段階の更新が必要。
Barracudaは、パッチが自動で当たっていなければ手動で適用し、自動パッチを止めている場合は有効に戻すよう求めている。
回避策：管理画面へのアクセスを信頼できる社内ネットワークに限る。Barracudaは、管理画面がインターネットに公開されていない組織は「この攻撃経路にさらされにくい」としている。

ESGの管理画面で「Advanced > Firmware Update」を開き、インストール済みのバージョンが 9.4.0.029 以降か確かめる（Barracuda Campusの手順）。可能なら、Mandiantが示す 9.4.0.030 以降かどうかもBarracudaのサポートに確認する。
ADC・BMA・WCC・WAF・WSGを使っていれば、それぞれ上の表のパッチが当たっているか確認する。
管理画面（Webの管理インターフェース）がインターネットから届かないか確認し、届く場合は送信元を絞る。
管理画面が公開されていた機器は、設定に覚えのない変更（管理者アカウント、転送先、許可リストなど）がないか見直す。

「認証前」かどうかで危険度が大きく変わる: Mandiantの説明どおり認証なしで設定を書き換えられるなら、管理画面が公開された機器は、2件をつなげて外部から乗っ取られうる。Barracudaの表記が揺れている以上、ここは厳しい方（認証不要）を前提に対応するのが安全だと考える。
メールゲートウェイは過去に狙われた機器: ESGは2022〜2023年にゼロデイ（CVE-2023-2868）を悪用され、Barracudaが機器の交換を求めた経緯がある。今回は悪用の報告はないが、攻撃者が関心を持つ製品であることは変わらない。
修正版の番号の食い違いに注意: 9.4.0.029 と 9.4.0.030 のどちらで直ったのか、公開情報からは確定できない。「9.4.0.029 なら大丈夫」と決めつけず、最新版まで上げておくのが無難だと考える。
ESG以外も確認を: コマンドインジェクションは共通コードにあり、WAFやロードバランサーにも及ぶ。単独では管理者ログインが必要だが、管理者パスワードの使い回しや漏えいがあれば、そのままroot取得につながる。