بوابات البريد من Barracuda: ثغرتان متسلسلتان تمنحان صلاحيات root وتُستغلّان حاليًا

رصد Top-Secured السيبراني: تحليل مستقل يستند إلى المصادر المذكورة أدناه. Top-Secured غير تابعة للشركات المذكورة ولن تطلب منك أبدًا بياناتك المصرفية أو كلمات مرورك.

أعلنت Barracuda عن استغلال ثغرتين تمنحان معًا صلاحيات root على أجهزة Email Security Gateway. وتطال إحداهما أيضًا جدران WAF وموازنات الأحمال وأجهزة الأرشفة وبوابات الويب. وأضافت CISA الثغرتين إلى فهرس الثغرات المستغلة في 10 نوفمبر.

ماذا حدث

في 2 نوفمبر 2026 نشرت Barracuda نشرة أمنية عن ثغرتين كشفت عنهما Mandiant في اليوم نفسه. وفي مساء 9 نوفمبر حدّثت الشركة النشرة: فقد رصدت نشاط استغلال يطال عددًا صغيرًا من المؤسسات. وفي اليوم التالي أدرجت CISA الثغرتين في فهرس KEV، مع مهلة حتى 13 نوفمبر للوكالات الفيدرالية الأمريكية.

• CVE-2026-116606 ‏(CVSS 9.3)، في Email Security Gateway ‏(ESG) فقط: يمكن لمهاجم يصل إلى واجهة الإدارة، دون تسجيل دخول، استدعاء وظيفة استيراد الإعدادات واستعادة نسخة احتياطية مُعدّة خصيصًا تعيد كتابة إعدادات الجهاز.
• CVE-2026-111560 ‏(CVSS 8.6): يمكن لمسؤول حقن أوامر نظام عبر حقل المنطقة الزمنية، فتُنفَّذ بصلاحيات root. وتشمل المنتجات المتأثرة ESG وLoad Balancer ADC وWeb Application Firewall وMessage Archiver وWeb Security Gateway وWAF Control Center.

من المعرّض للخطر

بحسب Barracuda، يتيح الجمع بين الثغرتين الانتقال من دون أي حساب إلى صلاحيات root على الجهاز. والأجهزة التي تكون واجهة إدارتها متاحة من الإنترنت هي الأكثر عرضة. ووفقًا لـ Mandiant، تشمل الإصدارات المتأثرة ESG حتى 9.4.0.27 وADC حتى 6.4.0 وWAF حتى 11.0.1 وMessage Archiver حتى 5.5.4.0 وWeb Security Gateway حتى 16.1.100.100 وWAF Control Center حتى 2.2.1.

ما العمل الآن

1. تحقّقوا من حالة التصحيحات في واجهة كل جهاز: تطبّقها Barracuda عادةً تلقائيًا (في ESG التصحيح BNSF-40425 أو BNSF-40430 حسب البرنامج الثابت). وإن كان مفقودًا فثبّتوه يدويًا وأعيدوا تفعيل التحديث التلقائي.
2. حدّثوا البرامج الثابتة القديمة: قد يحتاج جهاز متأخر بعدة إصدارات إلى عدة تحديثات متتالية.
3. أغلقوا واجهة الإدارة أمام الإنترنت: الشبكات الداخلية أو VPN فقط، وتحقّقوا من اتصال خارجي أن الصفحة لم تعد تستجيب.
4. ابحثوا عن آثار: تغييرات أو استعادات غير متوقعة للإعدادات، قيم غريبة في حقل المنطقة الزمنية، حسابات مسؤول غير معروفة.
5. عند الشك، تواصلوا مع دعم Barracuda وغيّروا كل بيانات الدخول المخزّنة على الجهاز (حسابات الدليل، مرحّلات SMTP، الشهادات).

رأينا

جهاز الأمان خادم كغيره، وصفحة إدارته لا مكان لها على الإنترنت. التصحيح التلقائي ميزة حقيقية، بشرط أن يتحقق أحدهم من أنه طُبّق فعلًا. بوابة البريد يمرّ عبرها كل بريدكم: عاملوها كخادم حرج.

المصادر

• Barracuda — Pre-Authentication Authorization Bypass and Command Injection Vulnerabilities in Certain Barracuda Products
• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-116606 (Barracuda ESG)
• Mandiant — MNDT-2026-0042: Barracuda ESG authentication bypass (CVE-2026-116606)
• Mandiant — MNDT-2026-0041: Barracuda command injection (CVE-2026-111560)

كيف نختار تحليلاتنا ونتحقق منها ونكتبها ←