Barracuda 警告 ESG 两个高危漏洞已遭利用，可获取设备 root 权限

网络安全公司 Barracuda Networks 警告，攻击者已开始利用两个近期修复的 Email Security Gateway（ESG）漏洞，组合利用可绕过授权控制并以 root 权限在设备上执行命令。公司称已发现影响少量组织的利用活动，并已启动修复流程。

两个漏洞编号为 CVE-2026-116606 和 CVE-2026-111560，Barracuda 在一周前发布安全更新。公司表示，成功利用需要攻击者能够访问受影响产品的管理界面，建议客户限制管理界面的网络访问范围。

漏洞与影响范围

其中第一个漏洞源于 Email Security Gateway 的身份验证弱点，可被利用修改设备的全局配置；第二个漏洞则允许未认证攻击者注入以 root 权限执行的操作系统命令。

Barracuda 在周一晚间更新了最初的公告，提醒管理员这两个漏洞正被用于针对少量客户的攻击。公司表示，已立即启动全面的修复流程，并为受影响产品发布安全补丁，同时确认已发现影响少数组织的利用活动。

受影响的核心产品是 Email Security Gateway（ESG），两个漏洞在该产品上均存在。公司同时列出了各产品对应的补丁版本，包括 BNSF-40425（9.4.017 及以上）与 BNSF-40430（低于 9.4.017）。

利用条件与修复建议

公司指出，两个漏洞若被组合利用，可能使攻击者绕过授权控制并获得设备的 root 访问权限。

针对暴露面控制，Barracuda 建议客户将管理界面的访问限制在可信内部网络内，并采用适当的网络访问控制措施。对于尚未自动应用补丁的客户，公司建议尽快手动安装相应补丁；若客户已关闭自动打补丁功能，则应把设备设置为自动接收补丁。

受影响的其它产品

除 ESG 外，公告表格还列出了其他受 CVE-2026-111560 影响的产品，包括 Load Balancer ADC、Message Archiver（BMA）、WAF Control Center（WCC）、Web Application Firewall（WAF）和 Web Security Gateway（WSG），这些产品均不涉及 CVE-2026-116606。

上述产品各自对应不同的补丁编号：Load Balancer ADC 与 WAF 对应 BNADC-16586，Message Archiver 对应 BNMA-32468，WAF Control Center 对应 BNWF-60060，Web Security Gateway 对应 BNYF-24789。

历史上的 ESG 攻击

这并非 Barracuda ESG 首次成为攻击目标。三年前，公司修复了另一个 ESG 漏洞 CVE-2023-7102，黑客组织 UNC4841 曾在其零日攻击中利用该漏洞执行任意代码。同一年，UNC4841 还滥用另一个零日漏洞 CVE-2023-2868 攻击 Barracuda ESG 设备，作为一系列网络间谍活动的一部分。

Barracuda 后来披露，该漏洞至少自 2022 年 10 月起被作为零日漏洞利用了至少七个月，用于投放此前未知的 SeaSpy 和 Saltwater 恶意软件，并从被入侵设备中窃取数据。据安全公司 Mandiant 统计，2023 年那轮攻击中近三分之一的受害系统属于政府机构，其中多数在 2022 年 10 月至 12 月间被入侵。

公开资料显示，Barracuda 成立于 2003 年，目前在全球拥有超过 20 万名客户，涵盖中小企业、大型企业和托管服务提供商。

要点

• 两个漏洞编号为 CVE-2026-116606 和 CVE-2026-111560
• CVE-2026-116606 源于 ESG 认证弱点，可修改设备全局配置
• CVE-2026-111560 允许未认证攻击者注入以 root 权限执行的系统命令
• Barracuda 称利用活动影响少量组织，已启动修复流程
• 成功利用需访问受影响设备的管理界面