Barracuda Email Security Gateway: dve chyby umožňujú prevziať poštovú bránu bez…

Čo sa stalo

Barracuda Networks vydala 2. novembra 2026 opravy dvoch vážnych chýb v zariadení Barracuda Email Security Gateway (ESG). Je to brána, ktorá stojí pred firemnou poštou a rozhoduje, ktoré e-maily sú spam, ktoré nesú škodlivý kód a ktoré prejdú ďalej. Prvá chyba, CVE-2026-116606, umožňuje obísť prihlásenie. Druhá, CVE-2026-111560, umožňuje podstrčiť systému príkazy, ktoré sa spustia s najvyššími právami (root).

Bezpečnostná firma watchTowr o niekoľko dní neskôr zverejnila technický rozbor. Vyplýva z neho, že po spojení oboch chýb sa útočník dostane k právam root bez akéhokoľvek prihlásenia. Útočný kód watchTowr nezverejnila, vydala len nástroj, ktorý overí, či je zariadenie zraniteľné.

Ešte 6. novembra 2026 web The Hacker News písal, že žiadny útok nie je známy. To sa zmenilo 10. novembra 2026: americká agentúra CISA zaradila obe chyby do katalógu aktívne zneužívaných zraniteľností (KEV) a európska databáza EUVD agentúry ENISA ich od toho dňa tiež vedie ako zneužívané. Kto za útokmi stojí, zatiaľ nie je verejne známe.

Prečo je to nebezpečné

Prvá chyba je obídenie autorizácie. Predstavte si vrátnika, ktorý vás po neúspešnom pokuse o zmenu hesla nevyhodí, ale nechá stáť vo vnútri budovy. Podľa analýzy watchTowr zariadenie po nevydarenej zmene hesla požiadavku nezastaví, a tak sa neprihlásený útočník cez internet dostane k funkcii na obnovu konfigurácie zo zálohy. Podľa popisu v NVD tak môže nahrať upravenú zálohu a zmeniť globálne nastavenia zariadenia.

Druhá chyba je vloženie príkazov operačného systému (command injection). Zariadenie vezme hodnotu z nastavenia časového pásma a neskôr ju bez dostatočnej kontroly použije v systémovom príkaze. Je to, akoby niekto do formulára namiesto názvu mesta napísal pokyn pre obsluhu a tá ho poslušne vykonala. Sama osebe chyba vyžaduje účet administrátora, príkazy však bežia ako root. Na ESG ten účet nahradí práve prvá chyba.

Práva root na poštovej bráne znamenajú úplnú kontrolu nad zariadením. Útočník by mohol čítať alebo presmerovať poštu, ktorá cez bránu prechádza, meniť pravidlá filtrovania a použiť zariadenie ako odrazový mostík do ďalších častí siete.

CVSS je stupnica závažnosti od 0 do 10. Obe skóre pridelila firma Mandiant (Google), ktorá CVE záznamy vytvorila, podľa CVSS verzie 4.0: CVE-2026-116606 má 9,3 (kritická), CVE-2026-111560 má 8,6 (vysoká).
CISA KEV je zoznam chýb, o ktorých americká agentúra CISA vie, že ich útočníci naozaj zneužívajú. Americkým federálnym úradom určila termín na nápravu do 13. novembra 2026. Či chyby využívajú ransomvérové skupiny, CISA zatiaľ nevie.
EPSS odhaduje pravdepodobnosť zneužitia v najbližších 30 dňoch. K 10. novembru 2026 to bolo 1,6 % pre CVE-2026-116606 a asi 1,1 % pre CVE-2026-111560. Keďže zneužívanie už potvrdila CISA, má tento odhad menšiu váhu.

Koho sa to týka

Obídenie prihlásenia (CVE-2026-116606) sa týka iba Barracuda Email Security Gateway vo verziách starších ako 9.4.0.030. Len tu sa dajú obe chyby spojiť do útoku bez prihlásenia.

Chyba s vkladaním príkazov (CVE-2026-111560) zasahuje podľa oznámenia Barracudy, ako ho cituje watchTowr, okrem ESG aj tieto produkty:

Barracuda Load Balancer ADC
Barracuda Message Archiver
Barracuda WAF Control Center
Barracuda Web Application Firewall
Barracuda Web Security Gateway

Na týchto piatich produktoch útočník podľa The Hacker News stále potrebuje administrátorský účet. Riziko je nižšie, ale nie nulové, napríklad ak niekto heslo správcu pozná alebo ukradne.

ESG stojí na hranici siete pred poštovým serverom a z internetu býva dostupné, lebo prijíma poštu. Iné produkty Barracuda watchTowr ani The Hacker News v súvislosti s týmito chybami neuvádzajú.

Ako zistiť, či ste zasiahnutí

Verziu firmvéru nájdete vo webovej administrácii zariadenia, zvyčajne na stránke Advanced > Firmware Update. Pri ESG je zraniteľné všetko pod 9.4.0.030. Pri ostatných produktoch porovnajte verziu so zoznamom opravených firmvérov v bezpečnostnom oznámení Barracudy.

Pozor na zmätok vo verziách: tabuľka v analýze watchTowr uvádza ako opravenú verziu 9.4.0.029, NVD aj The Hacker News však označujú za zraniteľné všetky verzie staršie ako 9.4.0.030. Za opravenú preto považujte až 9.4.0.030 a novšiu.

Overte aj to, či je administrácia dostupná z internetu. Z počítača mimo firemnej siete (napríklad cez mobilné pripojenie) spustite túto požiadavku, ktorá nič nemení. Port 8000 býva predvolený, použite ten, ktorý máte nastavený:

curl -s -o /dev/null -w "%{http_code}\n" --max-time 10 http://brana.vasafirma.sk:8000/

Ak dostanete HTTP kód ako 200 alebo 302, administrácia je z internetu dosiahnuteľná. Výsledok 000 znamená, že spojenie sa nenadviazalo. watchTowr vydala aj nástroj na overenie zraniteľnosti, používajte ho len na vlastných zariadeniach.

Ako to opraviť

Barracuda vydala opravy pre všetky dotknuté produkty. ESG je opravený vo verzii 9.4.0.030 a novšej, opravené firmvéry ostatných produktov uvádza výrobca vo svojom bezpečnostnom oznámení. Keďže CISA potvrdila zneužívanie, neodkladajte to.

Odporúčaný postup v tomto poradí:

Začnite pri ESG, lebo tam útok nepotrebuje žiadne heslo.
Ak nemôžete aktualizovať hneď, obmedzte prístup k administrácii iba na dôveryhodné interné siete. Toto dočasné opatrenie odporúča Barracuda.
Nainštalujte opravu alebo aktualizujte firmvér na opravenú verziu a potom overte, že zariadenie hlási správnu verziu.
Ak ste mali vypnuté automatické aplikovanie opráv, znova ho zapnite, ako radí výrobca.
Následne aktualizujte ostatné dotknuté produkty Barracuda a zmeňte heslá administrátorov, najmä ak bola administrácia dostupná z internetu.
Nakoniec skontrolujte, či zariadenie nebolo napadnuté ešte pred opravou (pozri ďalšiu časť).

CISA od amerických federálnych úradov žiada popri oprave aj forenznú kontrolu zariadení, a ak opatrenia nie sú k dispozícii, prestať produkt používať. Pre firmy v Európe to nie je povinnosť, ale je to rozumné meradlo.

Čo ak už ste mohli byť napadnutí

Oprava zatvorí dvere, ale nevyhodí niekoho, kto je už vnútri. Útok dáva práva root, takže útočník mohol na zariadení nechať zadné vrátka, ktoré aktualizácia neodstráni. Konkrétne indikátory napadnutia (IoC) CISA ani The Hacker News zatiaľ neuvádzajú, sledujte bezpečnostné oznámenie Barracudy. Medzitým sa pozrite na:

obnovy alebo importy konfigurácie zo zálohy v logoch administrácie, ktoré nikto z vás nerobil,
neúspešné pokusy o zmenu hesla z neznámych IP adries,
nezvyčajné hodnoty v nastavení časového pásma,
neznáme administrátorské účty, zmenené smerovanie pošty, preposielanie alebo nové výnimky z filtrovania,
neobvyklú odchádzajúcu komunikáciu zo zariadenia na neznáme adresy.

Ak niečo nájdete, alebo bola administrácia dostupná z internetu a napadnutie neviete vylúčiť, kontaktujte podporu Barracuda a prizvite špecialistu na riešenie incidentov. Nemažte logy a zariadenie nepreinštalujte, kým stopy nezaistí odborník. Pri ESG to nie je teória: v roku 2023 skupina UNC4841 zneužila inú chybu (CVE-2023-2868) a zasiahnuté zariadenia sa podľa watchTowr museli fyzicky vymeniť. S novými chybami tento prípad nesúvisí.

Zdroje

Články zostavuje AI agent z verejných zdrojov (výrobcovia, CISA, ENISA, NVD, SK-CERT, NÚKIB) a čísla verzií aj CVE voči nim automaticky overuje. Pred zásahom do produkcie si postup vždy overte v bulletine výrobcu.

Barracuda Email Security Gateway: dve chyby umožňujú prevziať poštovú bránu bez prihlásenia