メール・共同作業Barracuda任意コード実行深刻度緊急悪用確認

Barracudaの脆弱性CVE-2026-116606｜悪用確認、ESGの認証回避と対策

公開 2026-11-13公表 2026-11-02資料確認 2026-11-13メール・共同作業の脆弱性 33件のまとめ

メール・共同作業　/　公表 2026-11-02

管理画面に到達できる攻撃者が2件を組み合わせ、ESGのroot権限を取得するおそれ

KEV米CISAが悪用を確認

01　使われている所メール保護、メール保存、Web保護、アプリケーション配信の機器

対象：Barracuda ESG・ADC・BMA・WCC・WAF・WSG（CVE-2026-116606・CVE-2026-111560）

02　対象と修正版ESGは2件の対象。ADC・BMA・WCC・WAF・WSGはCVE-2026-111560の対象

修正版　最新ファームウェアと製品別セキュリティパッチの適用を確認

03　次にやること自社で確かめる順番

1　製品と管理画面の公開範囲を確認

2　最新ファームウェアとパッチの適用を確認

3　未適用なら更新し、管理画面への接続を制限

出典　Barracuda：Pre-Authentication Authorization Bypass and Command Injection Vulnerabilities in Certain Barracuda Products（2026-11-02公表、11月9日更新（米東部時間）、2026-11-13確認）

要点を、上司や保守の会社へのメール・チャットに貼れる文章でコピーします

Barracuda Email Security Gateway（ESG）では、認証回避のCVE-2026-116606とコマンド注入のCVE-2026-111560を組み合わせ、管理画面に到達できる攻撃者にroot権限を取得されるおそれがあります。Barracudaは少数の組織で悪用を確認しており、最新ファームウェアと製品別パッチの適用を確認するよう案内しています。[1]

この記事の要点

ESGは2件の対象で、ほかの5製品はコマンド注入の対象です。
認証回避には管理画面への到達が必要です。コマンド注入単独では管理者権限を要します。
Barracudaは悪用を確認し、米CISAは11月10日に2件をKEVへ追加しました。
ファームウェアの版だけでなく、セキュリティパッチの適用も確認します。

01Barracuda ESGで起きること

CVE-2026-116606は認証前の認可回避で、管理画面へ到達できることが条件です。CVE-2026-111560は管理者権限を必要とするコマンド注入です。ESGでは両者を連鎖させることでroot権限を取得されるおそれがあります。[1]

提供元告知は2件をHighと記載し、スコアを順に9.3、8.6としています。一方、採番者MandiantのCVE記録ではCVSS 4.0で9.3（Critical）と8.6（High）です。告知の深刻度ラベルとCVE記録の評価には違いがあります。[2]

[3]

02対象になるBarracudaの6製品

ESGは両方の対象です。ADC・BMA・WCC・WAF・WSGはCVE-2026-111560の対象で、CVE-2026-116606の対象とは記載されていません。[1]

03提供元の悪用確認とKEVへの追加

Barracudaは11月9日21:00 ESTの更新で、少数の組織に影響する悪用を観測したと追記しています。[1]

米CISAは2026年11月10日に2件をKEVへ追加しています。[4]

04管理画面の公開範囲を確認する

この攻撃経路には管理画面へのアクセスが必要です。提供元は、管理画面をインターネットへ公開していない組織では、この経路への露出が少ないと説明しています。管理画面への接続元を信頼できる内部ネットワークへ制限するよう推奨しています。[1]

05対象バージョンと製品別パッチ

提供元は最新ファームウェアと全セキュリティパッチの適用確認を求めています。告知のパッチ表は次のとおりです。ESGの区分は告知の表記をそのまま記載しています。[1]

ESG：BNSF-40425（9.4.017以上）、BNSF-40430（9.4.017未満）
Load Balancer ADC：BNADC-16586
Message Archiver（BMA）：BNMA-32468
WAF Control Center（WCC）：BNWF-60060
Web Application Firewall（WAF）：BNADC-16586
Web Security Gateway（WSG）：BNYF-24789

MandiantのCVE記録では、認証回避の対象はESG 9.4.0.030未満です。コマンド注入の対象はESG 9.4.0.27以下、ADC 6.4.0以下、WAF 11.0.1以下、WSG 16.1.100.100以下、BMA 5.5.4.0以下、WCC 2.2.1以下と記載されています。[2]

[3]

CVE記録のバージョン範囲と提供元のパッチ表は表記と示している内容が異なります。バージョンだけで修正済みと判断せず、該当パッチの適用を保守担当またはBarracuda Supportへ確認します。[1]

06ファームウェアとパッチの確認方法

提供元によると、機器には利用可能な最新ファームウェアが表示されます。複数世代古い場合は、更新を複数回行う必要があります。自動適用されていないパッチは手動適用し、確認や適用が不明な場合はBarracuda Supportへ相談します。告知が案内するBarracuda Campusの手引きで、機種に合った更新方法を確認します。[1]