Barracuda מאשרת כי תוקפים ניצלו בפועל שרשרת של שתי חולשות במוצרי האבטחה שלה, וב‑Email Security Gateway השילוב ביניהן עלול לאפשר עקיפת הרשאות וקבלת גישת root. החברה מדווחת על מספר מצומצם של ארגונים שנפגעו וממליצה לעדכן קושחה, לוודא שהטלאים הותקנו ולהרחיק את ממשק הניהול מהאינטרנט.
שתי החולשות שמרכיבות את השרשרת
החולשה הראשונה, CVE‑2026‑116606, היא עקיפת הרשאות לפני אימות ב‑Barracuda Email Security Gateway. תוקף שאינו מזוהה, אך מסוגל להגיע אל ממשק הניהול, יכול להפעיל פונקציית ייבוא תצורה ולשחזר קובץ גיבוי שעוצב במיוחד. הפעולה עלולה לשנות את התצורה הגלובלית של המכשיר ללא הרשאה תקינה.
החולשה השנייה, CVE‑2026‑111560, היא הזרקת פקודות מערכת. היא משפיעה לא רק על ESG אלא גם על ADC, Message Archiver, WAF Control Center, Web Application Firewall ו‑Web Security Gateway. כאשר שתי החולשות משורשרות ב‑ESG, התוקף יכול לעקוף את בקרת ההרשאות ולהוביל את המכשיר לעיבוד ערך זדוני שמריץ פקודה בהרשאת root.
Barracuda העניקה לחולשות ציוני CVSS של 9.3 ו‑8.6 בהתאמה. החברה מדגישה כי נתיב התקיפה מחייב גישה לממשק הניהול. זו אינה דרישה שולית: ממשק Admin שפתוח לאינטרנט, מותר מכל כתובת VPN או נגיש מרשת רחבה מדי מגדיל משמעותית את החשיפה.
הניצול כבר אינו תיאורטי
ב־9 בנובמבר עדכנה Barracuda את ההודעה וציינה שזיהתה ניצול במספר קטן של ארגונים. CISA הוסיפה את CVE‑2026‑116606 לקטלוג KEV ב־10 בנובמבר. המשמעות היא שהטיפול אינו מסתכם ב”להתקין טלאי כשאפשר”: ארגון שהחזיק ממשק ניהול נגיש צריך לשקול גם בדיקת סימני פגיעה.
מערכת Email Security Gateway היא יעד רגיש במיוחד. היא נמצאת בנתיב הדואר, מכירה דומיינים ומשתמשים ולעיתים מחוברת לרשתות ניהול ולשירותי Directory. השתלטות ברמת root על התקן כזה עשויה לשמש להתמדה, איסוף מידע, שינוי מדיניות או תנועה נוספת ברשת.
מה Barracuda מבקשת לעשות
הנחיית היצרן היא להפעיל את הקושחה העדכנית ביותר ולוודא שכל טלאי האבטחה התקבל. עבור ESG, תיעוד Barracuda Campus מציין שגרסה 9.4.0.029 ומעלה כוללת את התיקונים, ושמערכות ישנות מ‑9.1 עשויות לדרוש שדרוג בשני שלבים. מאחר שהיצרן מפיץ גם טלאים לפי ענף, יש לבדוק במכשיר את הגרסה וה‑patch העדכניים שהוצעו לחשבון ולפנות לתמיכה במקרה של פער.
ה‑Trust Center מפרט בין היתר את BNSF‑40425 למערכות ESG בקו 9.4.017 ומעלה ואת BNSF‑40430 לענפים מוקדמים יותר. למוצרים האחרים קיימים Patch IDs נפרדים. אין להניח שטלאי ל‑ESG מכסה WAF, WSG, ADC או Message Archiver.
שש בדיקות מעשיות למנהלי IT ואבטחה
- הגבילו את ממשק הניהול. אפשרו גישה רק מרשת ניהול פנימית, Jump Server או VPN עם MFA ורשימת כתובות מצומצמת.
- בדקו קושחה וטלאים בפועל. אמתו את הגרסה המותקנת לאחר reboot; מערכת ישנה עשויה להזדקק ליותר מסבב עדכון אחד.
- מפו את כל מוצרי Barracuda. החולשה השנייה משפיעה על כמה משפחות מוצרים, לא רק על ESG.
- בדקו ייבואי תצורה ושינויים חריגים. חפשו פעולות restore/import שלא בוצעו על ידי הצוות ושינויים בשדות תצורה.
- אספו לוגים לפני ניקוי. שמרו תיעוד מערכת, ניהול, רשת ואימות כדי לאפשר בדיקה פורנזית.
- סובבו סודות במקרה של חשד. אם קיימת אינדיקציה לפגיעה, החליפו סיסמאות, מפתחות ו‑tokens שהמכשיר יכול היה לגשת אליהם.
עדכון אינו מסיים את הבדיקה
כאשר חולשה מנוצלת בפועל, התקנת הטלאי עוצרת את נתיב הניצול הידוע אך אינה מוחקת התמדה שכבר הוטמעה. ארגון שבו ממשק הניהול היה נגיש מבחוץ צריך לבדוק משתמשים מקומיים, משימות מתוזמנות, קבצים חדשים, שינויים בתצורה וחיבורים יוצאים חריגים.
כדאי גם לבדוק את גבולות האמון סביב המכשיר: האם הוא יכול לגשת ל‑LDAP, SMTP פנימי, שרתי עדכון או אחסון גיבויים? האם סיסמאות נשמרות בו? האם החשבון שבו הוא משתמש מוגבל? הממצאים האלה קובעים את היקף התגובה במקרה של חשד.
השורה התחתונה
שרשרת CVE‑2026‑116606 ו‑CVE‑2026‑111560 משלבת עקיפת הרשאות לפני אימות עם הזרקת פקודות ברמת מערכת. היצרן כבר ראה ניצול, ולכן נדרשות שלוש פעולות במקביל: עדכון מלא, סגירת ממשק הניהול לרשתות לא מהימנות ובדיקת סימני פגיעה במערכות שנחשפו.
מקורות: Barracuda Trust Center advisory; Barracuda Campus — ESG update instructions; CISA KEV.
קרדיט תמונה: Roman / Unsplash. התמונה משמשת להמחשה וזמינה לשימוש מסחרי ולא־מסחרי באתר, בסושיאל ובשיווק לפי רישיון Unsplash; אין למכור אותה ללא שינוי מהותי ואין ליצור ממנה שירות תמונות מתחרה. דף המקור.
