Barracuda Networks waarschuwt voor twee kritieke kwetsbaarheden die aanvallers roottoegang tot apparaten kunnen geven, mits toegang tot admininterfaces aanwezig is.
Cybersecuritybedrijf Barracuda Networks heeft klanten gewaarschuwd voor twee kritieke kwetsbaarheden die het mogelijk maken voor aanvallers om commando's uit te voeren met rootrechten. De eerste kwetsbaarheid, CVE-2026-116606, betreft een authenticatiezwakte in de Email Security Gateway (ESG) waarmee een aanvaller de globale configuratie van het apparaat kan aanpassen. De tweede kwetsbaarheid, CVE-2026-111560, stelt kwaadwillenden met adminrechten in staat om besturingssysteemcommando's te injecteren die als root worden uitgevoerd.
Barracuda benadrukt dat succesvolle exploitatie vereist dat een aanvaller toegang heeft tot de administratieve interfaces van de getroffen apparaten. Het bedrijf adviseert daarom om netwerktoegang strikt te beperken tot vertrouwde interne netwerken en passende toegangscontroles te implementeren. Volgens de verklaring van Barracuda kunnen deze kwetsbaarheden, indien gecombineerd, leiden tot het omzeilen van autorisatiecontroles en het verkrijgen van roottoegang tot het apparaat.
Direct na ontdekking is een uitgebreid herstelproces gestart en zijn beveiligingspatches uitgebracht voor de getroffen producten. Klanten worden geadviseerd om de lijst met getroffen apparaten te controleren, de nieuwste firmwareversies te installeren en alle beveiligingsupdates toe te passen. De kwetsbaarheden treffen onder andere de Email Security Gateway, Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall en Web Security Gateway, met specifieke patches per product.
Drie jaar geleden werden ook al kritieke kwetsbaarheden in de Email Security Gateway gepatcht, waaronder CVE-2023-2868, die door de hackinggroep UNC4841 werden misbruikt in zero-day aanvallen om willekeurige code uit te voeren en malware te verspreiden. Deze aanvallen richtten zich onder meer op overheidsinstanties wereldwijd en duurden maandenlang, waarbij gevoelige data werd gestolen en malware zoals SeaSpy en Saltwater werd ingezet.
