שערי הדואר של Barracuda: שתי חולשות משורשרות מעניקות הרשאות root ומנוצלות כעת

מעקב הסייבר של Top-Secured: ניתוח עצמאי המבוסס על המקורות המפורטים בהמשך. Top-Secured אינה קשורה לחברות המוזכרות ולעולם לא תבקש מכם פרטי בנק או סיסמאות.

‏Barracuda מדווחת על ניצול של שתי חולשות שיחד מעניקות הרשאות root במכשירי Email Security Gateway שלה. אחת מהן פוגעת גם ב-WAF, במאזני עומסים, במערכות ארכוב ובשערי web. ‏CISA הוסיפה את שתיהן לקטלוג החולשות המנוצלות ב-10 בנובמבר.

מה קרה

ב-2 בנובמבר 2026 פרסמה Barracuda הודעה על שתי חולשות, שנחשפו באותו יום על ידי Mandiant. בערב 9 בנובמבר עדכנה החברה את ההודעה: היא זיהתה ניצול שפוגע במספר קטן של ארגונים. למחרת הוסיפה CISA את שתי החולשות לקטלוג KEV, עם מועד אחרון ב-13 בנובמבר לסוכנויות הפדרליות בארה״ב.

• CVE-2026-116606 ‏(CVSS 9.3), רק ב-Email Security Gateway ‏(ESG): ללא הזדהות, תוקף שמגיע לממשק הניהול יכול להפעיל את פונקציית ייבוא התצורה ולשחזר גיבוי מזויף שמשכתב את הגדרות המכשיר.
• CVE-2026-111560 ‏(CVSS 8.6): מנהל מערכת יכול להזריק פקודות מערכת דרך שדה אזור הזמן, והן רצות כ-root. מושפעים ESG, ‏Load Balancer ADC, ‏Web Application Firewall, ‏Message Archiver, ‏Web Security Gateway ו-WAF Control Center.

מי בסיכון

לפי Barracuda, שרשור שתי החולשות מאפשר לעבור מאפס הרשאות להרשאות root במכשיר. המכשירים החשופים ביותר הם אלה שממשק הניהול שלהם נגיש מהאינטרנט. לפי Mandiant, בין הגרסאות המושפעות: ESG עד 9.4.0.27, ‏ADC עד 6.4.0, ‏WAF עד 11.0.1, ‏Message Archiver עד 5.5.4.0, ‏Web Security Gateway עד 16.1.100.100 ו-WAF Control Center עד 2.2.1.

מה לעשות עכשיו

1. בדקו את מצב התיקונים בממשק של כל מכשיר: Barracuda מתקינה אותם בדרך כלל אוטומטית (ב-ESG, ‏BNSF-40425 או BNSF-40430 לפי הקושחה). אם התיקון חסר, התקינו אותו ידנית והפעילו מחדש עדכונים אוטומטיים.
2. עדכנו קושחות ישנות: מכשיר שמפגר בכמה גרסאות עשוי לדרוש כמה עדכונים ברצף.
3. סגרו את ממשק הניהול לאינטרנט: רק רשתות פנימיות או VPN, ובדקו מחיבור חיצוני שהדף כבר לא עונה.
4. חפשו עקבות: שינויים או שחזורים לא צפויים של התצורה, ערכים מוזרים בשדה אזור הזמן, חשבונות מנהל לא מוכרים.
5. במקרה של ספק, פנו לתמיכה של Barracuda והחליפו את כל פרטי הגישה השמורים במכשיר (חשבונות ספרייה, ממסרי SMTP, תעודות).

הניתוח שלנו

מכשיר אבטחה הוא שרת לכל דבר, ודף הניהול שלו לא צריך להיות חשוף לאינטרנט. תיקונים אוטומטיים הם יתרון אמיתי, בתנאי שמישהו מוודא שהם אכן הותקנו. שער דואר רואה את כל הדואר שלכם: התייחסו אליו כאל שרת קריטי.

מקורות

• Barracuda — Pre-Authentication Authorization Bypass and Command Injection Vulnerabilities in Certain Barracuda Products
• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-116606 (Barracuda ESG)
• Mandiant — MNDT-2026-0042: Barracuda ESG authentication bypass (CVE-2026-116606)
• Mandiant — MNDT-2026-0041: Barracuda command injection (CVE-2026-111560)

איך אנחנו בוחרים, מאמתים וכותבים את הניתוחים שלנו ←