Barracuda 11 月 9 日更新公告，證實 Email Security Gateway 的授權繞過漏洞 CVE-2026-116606 與指令注入漏洞 CVE-2026-111560 已遭利用、影響少數組織，兩者串接可在攻擊者能存取管理介面時取得裝置 root 權限 [2][3]。CISA 於 11 月 10 日將這兩個漏洞列入已知遭利用漏洞目錄，要求聯邦機關在 11 月 13 日前完成修補 [4][5]。未自動套用修補的客戶應手動安裝 ESG 修補 BNSF-40425 或 BNSF-40430，並把管理介面限制在受信任的內部網路 [2]。
本事件尚未經官方確認，內容以媒體或第三方報導為依據，請謹慎解讀。
Barracuda ESG 授權繞過與 root 指令注入漏洞遭利用，CISA 列入 KEV 並限 11/13 前修補
閱讀約 1 分鐘
- 揭露
- 2026年11月6日
- 發布
- 2026年11月10日
- 最後更新
- 2026年11月11日
- CVSS 依據
- 本站評估
- 1.6%，高於 76% 的漏洞
- 利用與修補狀態
- 已遭利用KEV已有修補
- 初始入侵方式
- 漏洞狀態
- 攻擊者類型
- 動機
本頁內容
30 秒摘要
事件時間軸
- 媒體報導 Barracuda ESG 高危漏洞研究[1]
Barracuda 於美東時間 11 月 9 日晚間更新官方公告，表示已發現授權繞過漏洞 CVE-2026-116606 與指令注入漏洞 CVE-2026-111560 遭利用、影響少數組織；兩者串接可繞過授權並取得裝置 root 權限，前提是攻擊者能存取產品的管理介面。CVE-2026-116606 影響 Email Security Gateway，CVE-2026-111560 另影響 Load Balancer ADC、Message Archiver、WAF Control Center、Web Application Firewall 與 Web Security Gateway。Barracuda 建議未自動套用修補的客戶盡快手動安裝（ESG 為 BNSF-40425 或 BNSF-40430），關閉自動修補者應重新啟用，並將管理介面限制在受信任的內部網路。
技術細節
發生什麼
The Hacker News 11 月 6 日報導，研究人員示範 Barracuda Email Security Gateway（ESG）存在可串接的高危漏洞，watchTowr 並釋出檢查設備是否受影響的工具 [1]。
Barracuda 於美東時間 11 月 9 日晚間更新官方公告，表示已發現授權繞過漏洞 CVE-2026-116606 與指令注入漏洞 CVE-2026-111560 遭利用、影響少數組織；兩者串接可繞過授權並取得裝置 root 權限，前提是攻擊者能存取產品的管理介面 [2][3]。
受影響產品
CVE-2026-116606 影響 Email Security Gateway；CVE-2026-111560 另影響 Load Balancer ADC、Message Archiver、WAF Control Center、Web Application Firewall 與 Web Security Gateway [2]。
CISA 列入 KEV
CISA 於 2026 年 11 月 10 日將 CVE-2026-111560（作業系統指令注入，可讓已驗證的管理員以 root 權限執行指令）與 CVE-2026-116606（ESG 驗證繞過，可讓未驗證的遠端攻擊者呼叫設定匯入功能並還原特製備份檔）列入已知遭利用漏洞目錄，聯邦機關修補期限為 2026 年 11 月 13 日 [4][5]。
處置
Barracuda 建議未自動套用修補的客戶盡快手動安裝（ESG 為 BNSF-40425 或 BNSF-40430），關閉自動修補者應重新啟用，並將管理介面限制在受信任的內部網路 [2]。
參考來源
官方 / 一級來源3
- [2]
“We have identified exploitation activity affecting a small number of organizations.”
- [4]
本站內容為公開資訊整理，不構成資安顧問建議；修復步驟請先於測試環境驗證。