Barracuda varnar för sårbarheter som kan ge angripare rootåtkomst

Barracuda Networks uppmanade kunder att installera korrigeringar för två sårbarheter som kan låta angripare köra kommandon med rootbehörighet på berörda enheter.

Den första, CVE-2026-116606, är en kritisk sårbarhet kopplad till en autentiseringsbrist i företagets Email Security Gateway (ESG). Angripare kan utnyttja den för att ändra en apparats globala konfiguration. Den andra, CVE-2026-111560, kan låta angripare som redan har administratörsbehörighet lägga in operativsystemskommandon som körs som root.

Barracuda uppgav att ett lyckat angrepp kräver åtkomst till målenheternas administrationsgränssnitt. Företaget sade att sårbarheterna tillsammans kan göra det möjligt för en angripare att kringgå behörighetskontroller och få rootåtkomst. Barracuda uppgav att företaget hade inlett ett åtgärdsarbete och släppt korrigeringar för berörda produkter. Kunderna uppmanades att läsa vägledningen om berörda produkter och åtgärder, installera den senaste fasta programvaran, tillämpa alla säkerhetskorrigeringar och begränsa administrativ åtkomst till betrodda interna nätverk.

Barracudas ESG-enheter har tidigare utsatts för angrepp där sårbarheter utnyttjats. År 2023 korrigerade företaget CVE-2023-7102, som hackergruppen UNC4841 utnyttjade i nolldagsangrepp för att köra godtycklig kod på enheter utan korrigering. Samma år utnyttjade UNC4841 även CVE-2023-2868. Barracuda uppgav senare att den sårbarheten hade utnyttjats i minst sju månader, sedan åtminstone oktober 2022, för att installera skadeprogrammen SeaSpy och Saltwater och stjäla data. Mandiant uppgav att nästan en tredjedel av enheterna som hackades i kampanjen 2023 tillhörde myndigheter världen över.