Barracuda พบช่องโหว่รุนแรงใน ESG เสี่ยงถูกยึดสิทธิ์ Root

Barracuda ได้ออกแพตช์แก้ไขช่องโหว่รุนแรง 2 รายการที่สามารถนำมาใช้งานร่วมกัน (Chained) เพื่อเข้าถึงสิทธิ์ Root บนอุปกรณ์ Email Security Gateway (ESG) ได้สำเร็จ

ช่องโหว่แรกคือ CVE-2026-116606 (คะแนน CVSS 9.3) ซึ่งเป็นปัญหา Authentication Bypass ที่ส่งผลกระทบต่อ ESG โดยเฉพาะ ส่วนรายการที่สองคือ CVE-2026-111560 (คะแนน CVSS 8.6) เป็นปัญหา Command Injection ที่ส่งผลกระทบต่อผลิตภัณฑ์อื่นของ Barracuda อีก 5 รายการ

Mandiant ระบุใน advisory ว่าช่องโหว่ Authentication Bypass ใน ESG เวอร์ชันที่ต่ำกว่า 9.4.0.030 ช่วยให้ผู้โจมตีจากระยะไกลสามารถข้ามการยืนยันตัวตนเพื่อเข้าถึงฟังก์ชันนำเข้าการกำหนดค่า (Configuration-import) และกู้คืนไฟล์สำรองที่สร้างขึ้นเป็นพิเศษได้ ซึ่งนำไปสู่การแก้ไขค่าคอนฟิกส่วนกลางของอุปกรณ์โดยไม่ได้รับอนุญาต

สำหรับช่องโหว่ Command Injection นั้นเกิดขึ้นในส่วนการตั้งค่าเขตเวลา (Timezone Configuration) ซึ่งเป็นโค้ดที่ใช้ร่วมกันในหลายผลิตภัณฑ์ โดยทาง Mandiant ชี้ว่าหากผู้โจมตีลงชื่อเข้าใช้ด้วยสิทธิ์ผู้ดูแลระบบ (Administrator) จะสามารถใช้ช่องโหว่นี้เพื่อรันคำสั่ง OS ในฐานะ Root ได้ทันที

Barracuda กล่าว ว่าหากช่องโหว่ทั้งสองถูกโจมตีร่วมกัน จะช่วยให้แฮกเกอร์ข้ามผ่านการควบคุมการอนุญาตและได้รับสิทธิ์ Root ในการเข้าถึงอุปกรณ์ได้ โดยนอกจาก ESG แล้ว บั๊ก Command Injection ยังกระทบถึง Load Balancer Application Delivery Controller (ADC), Message Archiver, WAF Control Center, Web Application Firewall (WAF) และ Web Security Gateway (WSG)

Barracuda แนะนำให้ผู้ใช้งานตรวจสอบว่าหน้าจอจัดการ (Admin Interface) ของอุปกรณ์สามารถเข้าถึงได้เฉพาะจากเครือข่ายภายในที่เชื่อถือได้เท่านั้น แม้จะมีข้อมูลที่ขัดกันเล็กน้อยระหว่างบริษัทที่ระบุว่าต้องมีสิทธิ์ผู้ดูแลระบบ และ Mandiant ที่ระบุใน advisories ว่าช่องโหว่ใน ESG สามารถโจมตีได้โดยไม่ต้องยืนยันตัวตน (Pre-authentication)

ลูกค้าควรดำเนินการอัปเดตเป็นเฟิร์มแวร์ล่าสุดและตรวจสอบว่าได้ติดตั้งแพตช์ทั้งหมดเรียบร้อยแล้ว หากมีการปิดระบบอัปเดตอัตโนมัติไว้ควรเปิดใช้งานหรือดำเนินการติดตั้งแพตช์ด้วยตนเองทันที โดยในขณะนี้ยังไม่มีรายงานการนำช่องโหว่ดังกล่าวมาใช้โจมตีจริง (In the wild)

ก่อนหน้านี้อุปกรณ์ ESG ของ Barracuda เคยตกเป็นเป้าหมายใหญ่จากการถูก ใช้ประโยชน์จากช่องโหว่ Zero-day หมายเลข CVE-2023-2868 ในช่วงปลายปี 2022 ซึ่งส่งผลรุนแรงจนบริษัทต้องแนะนำให้ลูกค้าเปลี่ยนอุปกรณ์เครื่องใหม่เพื่อความปลอดภัย