Barracuda Email Security Gateway: dvě chyby umožňují převzít poštovní bránu bez…

Co se stalo

Barracuda Networks vydala 2. listopadu 2026 opravy dvou vážných chyb v zařízení Barracuda Email Security Gateway (ESG). Jde o bránu, která stojí před firemní poštou a rozhoduje, které e-maily jsou spam, které nesou škodlivý kód a které projdou dál. První chyba, CVE-2026-116606, umožňuje obejít přihlášení. Druhá, CVE-2026-111560, umožňuje podstrčit systému příkazy, které se spustí s nejvyššími právy (root).

Bezpečnostní firma watchTowr o několik dní později zveřejnila technický rozbor. Vyplývá z něj, že po spojení obou chyb se útočník dostane k právům root bez jakéhokoli přihlášení. Útočný kód watchTowr nezveřejnila, vydala jen nástroj, který ověří, zda je zařízení zranitelné.

Ještě 6. listopadu 2026 web The Hacker News psal, že žádný útok není znám. To se změnilo 10. listopadu 2026: americká agentura CISA zařadila obě chyby do katalogu aktivně zneužívaných zranitelností (KEV) a evropská databáze EUVD agentury ENISA je od toho dne také vede jako zneužívané. Kdo za útoky stojí, zatím není veřejně známo.

Proč je to nebezpečné

První chyba je obejití autorizace. Představte si vrátného, který vás po neúspěšném pokusu o změnu hesla nevyhodí, ale nechá stát uvnitř budovy. Podle analýzy watchTowr zařízení po nepovedené změně hesla požadavek nezastaví, takže se nepřihlášený útočník přes internet dostane k funkci pro obnovu konfigurace ze zálohy. Podle popisu v NVD tak může nahrát upravenou zálohu a změnit globální nastavení zařízení.

Druhá chyba je vložení příkazů operačního systému (command injection). Zařízení vezme hodnotu z nastavení časového pásma a později ji bez dostatečné kontroly použije v systémovém příkazu. Je to, jako by někdo do formuláře místo názvu města napsal pokyn pro obsluhu a ta ho poslušně provedla. Sama o sobě chyba vyžaduje účet administrátora, příkazy ale běží jako root. Na ESG ten účet nahradí právě první chyba.

Práva root na poštovní bráně znamenají úplnou kontrolu nad zařízením. Útočník by mohl číst nebo přesměrovat poštu, která branou prochází, měnit pravidla filtrování a použít zařízení jako odrazový můstek do dalších částí sítě.

CVSS je stupnice závažnosti od 0 do 10. Obě skóre přidělila firma Mandiant (Google), která CVE záznamy vytvořila, podle CVSS verze 4.0: CVE-2026-116606 má 9,3 (kritická), CVE-2026-111560 má 8,6 (vysoká).
CISA KEV je seznam chyb, o kterých americká agentura CISA ví, že je útočníci skutečně zneužívají. Americkým federálním úřadům stanovila termín nápravy do 13. listopadu 2026. Zda chyby využívají ransomwarové skupiny, CISA zatím neví.
EPSS odhaduje pravděpodobnost zneužití v nejbližších 30 dnech. K 10. listopadu 2026 to bylo 1,6 % pro CVE-2026-116606 a asi 1,1 % pro CVE-2026-111560. Protože zneužívání už potvrdila CISA, má tento odhad menší váhu.

Koho se to týká

Obejití přihlášení (CVE-2026-116606) se týká pouze Barracuda Email Security Gateway ve verzích starších než 9.4.0.030. Jen zde lze obě chyby spojit do útoku bez přihlášení.

Chyba s vkládáním příkazů (CVE-2026-111560) podle oznámení Barracudy, jak ho cituje watchTowr, kromě ESG zasahuje i tyto produkty:

Barracuda Load Balancer ADC
Barracuda Message Archiver
Barracuda WAF Control Center
Barracuda Web Application Firewall
Barracuda Web Security Gateway

U těchto pěti produktů útočník podle The Hacker News stále potřebuje administrátorský účet. Riziko je nižší, ale ne nulové, například pokud někdo heslo správce zná nebo ukradne.

ESG stojí na hranici sítě před poštovním serverem a z internetu bývá dostupné, protože přijímá poštu. Jiné produkty Barracuda watchTowr ani The Hacker News v souvislosti s těmito chybami neuvádějí.

Jak zjistit, zda jste zasaženi

Verzi firmwaru najdete ve webové administraci zařízení, obvykle na stránce Advanced > Firmware Update. U ESG je zranitelné vše pod 9.4.0.030. U ostatních produktů porovnejte verzi se seznamem opravených firmwarů v bezpečnostním oznámení Barracudy.

Pozor na zmatek ve verzích: tabulka v analýze watchTowr uvádí jako opravenou verzi 9.4.0.029, NVD i The Hacker News ale označují za zranitelné všechny verze starší než 9.4.0.030. Za opravenou proto považujte až 9.4.0.030 a novější.

Ověřte také, zda je administrace dostupná z internetu. Z počítače mimo firemní síť (například přes mobilní připojení) spusťte tento požadavek, který nic nemění. Port 8000 bývá výchozí, použijte ten, který máte nastavený:

curl -s -o /dev/null -w "%{http_code}\n" --max-time 10 http://brana.vasefirma.cz:8000/

Pokud dostanete HTTP kód jako 200 nebo 302, administrace je z internetu dosažitelná. Výsledek 000 znamená, že se spojení nenavázalo. watchTowr vydala i nástroj k ověření zranitelnosti, používejte ho jen na vlastních zařízeních.

Jak to opravit

Barracuda vydala opravy pro všechny dotčené produkty. ESG je opraven ve verzi 9.4.0.030 a novější, opravené firmwary ostatních produktů uvádí výrobce ve svém bezpečnostním oznámení. Protože CISA potvrdila zneužívání, neodkládejte to.

Doporučený postup v tomto pořadí:

Začněte u ESG, protože tam útok nepotřebuje žádné heslo.
Pokud nemůžete aktualizovat hned, omezte přístup k administraci pouze na důvěryhodné interní sítě. Toto dočasné opatření doporučuje Barracuda.
Nainstalujte opravu nebo aktualizujte firmware na opravenou verzi a poté ověřte, že zařízení hlásí správnou verzi.
Pokud jste měli vypnuté automatické aplikování oprav, znovu ho zapněte, jak radí výrobce.
Následně aktualizujte ostatní dotčené produkty Barracuda a změňte hesla administrátorů, zejména pokud byla administrace dostupná z internetu.
Nakonec zkontrolujte, zda zařízení nebylo napadeno ještě před opravou (viz další část).

CISA po amerických federálních úřadech kromě opravy požaduje i forenzní kontrolu zařízení, a pokud opatření nejsou k dispozici, přestat produkt používat. Pro firmy v Evropě to není povinnost, ale je to rozumné měřítko.

Co když už jste mohli být napadeni

Oprava zavře dveře, ale nevyhodí někoho, kdo už je uvnitř. Útok dává práva root, takže útočník mohl na zařízení nechat zadní vrátka, která aktualizace neodstraní. Konkrétní indikátory napadení (IoC) CISA ani The Hacker News zatím neuvádějí, sledujte bezpečnostní oznámení Barracudy. Mezitím se podívejte na:

obnovy nebo importy konfigurace ze zálohy v lozích administrace, které nikdo z vás neprováděl,
neúspěšné pokusy o změnu hesla z neznámých IP adres,
neobvyklé hodnoty v nastavení časového pásma,
neznámé administrátorské účty, změněné směrování pošty, přeposílání nebo nové výjimky z filtrování,
neobvyklou odchozí komunikaci ze zařízení na neznámé adresy.

Pokud něco najdete, nebo byla administrace dostupná z internetu a napadení nedokážete vyloučit, kontaktujte podporu Barracuda a přizvěte specialistu na řešení incidentů. Nemažte logy a zařízení nepřeinstalujte, dokud stopy nezajistí odborník. U ESG to není teorie: v roce 2023 skupina UNC4841 zneužila jinou chybu (CVE-2023-2868) a zasažená zařízení se podle watchTowr musela fyzicky vyměnit. S novými chybami tento případ nesouvisí.

Zdroje

Články sestavuje AI agent z veřejných zdrojů (výrobci, CISA, ENISA, NVD, NÚKIB, SK-CERT) a čísla verzí i CVE proti nim automaticky ověřuje. Před zásahem do produkce si postup vždy ověřte v bulletinu výrobce.

Barracuda Email Security Gateway: dvě chyby umožňují převzít poštovní bránu bez přihlášení