The Hacker Newsによると、Barracuda Networksが提供するメール中継製品「Email Security Gateway（ESG）」において、未認証のまま機器のroot権限を奪取できる2件の脆弱性が報告されました。認可バイパス（CVE-2026-116606）とコマンドインジェクション（CVE-2026-111560）を連鎖させる手口が実証されています。アプライアンスの管理画面が外部に露出している場合、遠隔から機器を完全に掌握される恐れがあります。管理者は速やかに修正済みバージョン9.4.0.030以降を適用するか、管理インターフェースのアクセス制限を実施してください。
The Hacker News：Experts Demonstrate Barracuda Email Security Gateway Chain Enabling Root Access Without Login
境界防御を担うアプライアンス機器が外部から狙われていないか懸念がある場合は、CyberCrewのネットワークペネトレーションテストで侵入経路を洗い出せます。
この記事のポイント
影響のあるシステム
- Barracuda Email Security Gateway（ファームウェアバージョン9.4.0.030未満）
- CVE-2026-111560の影響を受けるBarracudaの他5製品【要確認：対象製品名およびバージョンは一次情報に記載なし】
推奨される対策
- Barracuda Email Security Gatewayのファームウェアをバージョン9.4.0.030以降へアップデートする
- アプライアンスの自動更新機能（automatic patching）を無効化している場合は有効に戻す
- アップデートを即座に実施できない環境では、管理インターフェースへのアクセスを信頼できる内部ネットワークのみに制限する
この記事に出てくる専門用語
- CVE-2026-116606：Barracuda Email Security Gatewayに存在する認可バイパスの脆弱性です。今回の攻撃チェーンでは、ログインしていない攻撃者がバックアップ復元機能を不正に呼び出す突破口として使われます。
- CVE-2026-111560：バックアップ復元処理に起因するコマンドインジェクションの脆弱性です。細工されたタイムゾーン設定を介して、機器内でroot権限のシェルコマンドを実行させます。
- 攻撃チェーン（Chained Exploitation）：単体では悪用条件が限られる複数の脆弱性を順に組み合わせ、より深刻な侵害を成立させる手法です。今回は認証回避とコマンド実行が組み合わされています。
BarracudaのESGでroot権限が奪われる仕組み
The Hacker Newsによると、セキュリティ企業のwatchTowrがBarracuda Email Security Gateway（ESG）のコードを解析し、2件の脆弱性を組み合わせた攻撃手法を実証しました。発端となるCVE-2026-116606では、パスワード変更処理が失敗した際に処理を中断せず低権限ロールを返してしまう不具合が存在します。この結果、認証を経ていない外部の第三者が設定バックアップの復元機能へアクセスできる状態が生じます。
バックアップ復元機能に到達した攻撃者は、細工した設定ファイルを機器へアップロードします。復元対象のデータに含まれるタイムゾーン値の処理にCVE-2026-111560のコマンドインジェクションが存在するため、機器は渡された値をroot権限のシェルコマンドとしてそのまま実行します。バックアップにはチェックサム検証が施されているものの、計算に用いるシークレット値が機器のコード内に直接埋め込まれており、攻撃者側で正当なチェックサムを偽造できます。
watchTowrは検証ツールを用い、機器の内部にtouch /tmp/testコマンドを実行してファイルを作成できることを確認しました。私たちホワイトハッカーの視点から見ても、ハードコードされた署名鍵と未認証での設定復元が重なった今回の設計は、境界アプライアンスとして極めて危険な連鎖経路を形成しています。
出典：GitHub「GitHub – watchtowrlabs/watchTowr-vs-Barracuda-RCE-CVE-2026-116606-CVE-2026-111560 · GitHub」
2件の脆弱性における影響範囲と深刻度の違い
The Hacker Newsによると、米Mandiantはこの2件の脆弱性に深刻度の高い評価を与えています。認可バイパスのCVE-2026-116606はCVSS 9.3と極めて高く、コマンドインジェクションのCVE-2026-111560はCVSS 8.6と評価されています。2つの欠陥は影響を受ける機器の範囲と成立条件が大きく異なります。
CVE-2026-116606が影響するのはEmail Security Gatewayのみです。一方で、コマンドインジェクションのCVE-2026-111560はESGに加えてBarracudaの他5製品にも波及しています。ただし他製品では認可バイパスが機能しないため、コマンド実行を成立させるには事前に管理者アカウントの認証情報を入手している必要があります。
現時点で両脆弱性を悪用した実際の被害報告はなく、米CISAの悪用確認済み脆弱性カタログ（KEV）にも掲載されていません。2023年にUNC4841によってゼロデイ攻撃されたCVE-2023-2868とも無関係であると説明されています。しかし概念実証の手法が公開されている以上、インターネット経由のスキャンが激化する前に防御体制を固める判断が求められます。
Barracuda製品の運用担当者が直ちに実施すべき対応
Barracudaのセキュリティアドバイザリによると、Email Security Gatewayの脆弱性はバージョン9.4.0.030以降のファームウェアで修正されています。アプライアンスを運用している組織は、管理コンソールから現在のバージョンを確認し、修正済みビルドへのアップデートを最優先で適用します。他5製品についても修正ファームウェアが提供されているため、利用中の機器をリストアップして更新を順次進めます。
保守や運用の都合で直ちにパッチを適用できない現場では、アプライアンスの管理インターフェースをインターネットから遮断します。社内管理用セグメントや信頼できる特定IPアドレスからのみ接続を許可するアクセス制御を設定し、外部からの未認証リクエストを物理的に届かせない構成をとります。運用中に自動パッチ機能（automatic patching）を無効化していた場合は、直ちに設定を有効へ戻します。
私たち診断側の現場では、ゲートウェイ機器の管理画面が意図せずWAN側に公開されている事例を頻繁に見かけます。自社のアプライアンスが外部から直接閲覧できる状態になっていないか、外部IP側からのポート疎通状況を直ちに確認して不必要な露出を排除します。
参考文献・記事一覧
- The Hacker News「Experts Demonstrate Barracuda Email Security Gateway Chain Enabling Root Access Without Login」
- GitHub「GitHub – watchtowrlabs/watchTowr-vs-Barracuda-RCE-CVE-2026-116606-CVE-2026-111560 · GitHub」
外部公開されたネットワーク機器や中継ゲートウェイの思わぬ設定不備を把握するために、実践的な侵入検証の実施をお勧めします。
投稿者プロフィール
-
サイバーセキュリティ ニュース ボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。
