Barracuda Email Security Gateway gặp lỗ hổng cho phép root access
"Barracuda Email Security Gateways (ESG) are affected by a chained vulnerability consisting of a pre-authentication authorization bypass (CVE-2026-116606) and a command-injection flaw (CVE-2026-111560). Successful exploitation could grant attackers root access to affected systems. Barracuda has released patches to address these vulnerabilities."
Lỗ hổng cho phép root access trên hệ thống, có thể dẫn đến mất dữ liệu và cài đặt backdoor.
Các doanh nghiệp sử dụng Barracuda ESG có thể bị gián đoạn hoạt động và thiệt hại uy tín nếu hệ thống bị xâm nhập. Chi phí khắc phục cũng có thể đáng kể.
Barracuda cảnh báo về việc khai thác lỗ hổng bypass xác thực (CVE-2026-116606) và command injection (CVE-2026-111560) trên các sản phẩm Email Security Gateway (ESG). Khi kết hợp, hai lỗ hổng này có thể cho phép kẻ tấn công có quyền root trên hệ thống.
Doanh nghiệp Việt Nam sử dụng Barracuda ESG cần đặc biệt quan tâm vì lỗ hổng này có thể dẫn đến mất dữ liệu, cài backdoor và kiểm soát toàn bộ hệ thống. Barracuda đã phát hành bản vá để khắc phục.
CVE-2026-116606 là lỗ hổng bypass xác thực với điểm CVSS 9.3, yêu cầu truy cập giao diện quản trị. Tausif Ahmed, người sáng lập Purplecop Security, khuyên nên đóng giao diện quản trị nếu mở trực tiếp ra internet.
CVE-2026-111560 là lỗ hổng command injection với điểm CVSS 8.6, ảnh hưởng đến nhiều sản phẩm của Barracuda: ESG, load balancer (ADC), message archiver (BMA), web application firewall (WAF), WAF control center (WCC) và web security gateway (WSG).
Barracuda cho biết đã phát hiện hoạt động khai thác ảnh hưởng đến một số ít tổ chức. Họ không công bố số lượng cụ thể nhưng khẳng định đã phối hợp với các doanh nghiệp bị ảnh hưởng để khắc phục. https://www.theregister.com/2026/11/10/barracuda_esg_vulnerabilities/
Câu hỏi thường gặp
CVE-2026-116606 là gì?
CVE-2026-116606 là lỗ hổng bypass xác thực trên Barracuda ESG, cho phép kẻ tấn công truy cập hệ thống nếu có quyền truy cập vào giao diện quản trị.
CVE-2026-111560 ảnh hưởng đến sản phẩm nào của Barracuda?
CVE-2026-111560 ảnh hưởng đến ESG, load balancer (ADC), message archiver (BMA), web application firewall (WAF), WAF control center (WCC) và web security gateway (WSG).
Barracuda đã phản ứng như thế nào với các lỗ hổng này?
Barracuda đã phát hành bản vá để khắc phục các lỗ hổng CVE-2026-116606 và CVE-2026-111560 và phối hợp với các tổ chức bị ảnh hưởng để giải quyết vấn đề.
Góc nhìn của Orange Cloud
Theo chúng tôi, lỗ hổng này đặc biệt đáng chú ý với các doanh nghiệp Việt Nam sử dụng Barracuda ESG để bảo vệ email. Việc vá lỗi ngay lập tức là cần thiết để ngăn chặn các cuộc tấn công tiềm ẩn. Điều đáng chú ý là các lỗ hổng tương tự đã từng được sử dụng bởi các nhóm tấn công liên kết với chính phủ Trung Quốc, và trong năm 2023, FBI cũng đã cáo buộc các nhóm liên kết với Trung Quốc tấn công Barracuda ESG để triển khai phần mềm độc hại.