Barracuda Networksは、同社の6製品で脆弱性が見つかり、修正パッチを公開した。メールセキュリティ製品のBarracuda Email Security Gateway（ESG）では、複数の脆弱性を組み合わせて悪用されると、大きな影響が生じるおそれがある。
同社は現地時間2026年11月2日に公開したセキュリティアドバイザリで、CVE-2026-116606とCVE-2026-111560の2件を公表した。重要度はいずれも「高」と評価している。
CVE-2026-116606は、ESGの認証を回避できる脆弱性。管理インタフェースにアクセスできる場合、認証を受けずにインポート機能を呼び出し、細工したバックアップデータを読み込ませることで、機器全体の設定を不正に変更できる。
もう一方のCVE-2026-111560は、タイムゾーンの設定処理にあるOSコマンドインジェクションの脆弱性。管理者としてログインする必要があるものの、root権限でOSコマンドを実行できる。
CVE-2026-111560はESGのほか、Load Balancer Application Delivery Controller（ADC）、Message Archiver（BMA）、WAF Control Center（WCC）、Web Application Firewall（WAF）、Web Security Gateway（WSG）にも影響する。
MARBLEの対応例：この件の場合
MARBLEは、Barracudaの対象製品の利用状況と修正パッチの適用状況をまず確認する。
- ESGやADCなど、対象6製品を利用しているかを確かめる
- 利用製品の修正パッチの適用状況を確かめる
- ESGの管理インタフェースへのアクセス範囲を導入した会社に確かめる
- 未適用の場合は、修正パッチの適用方法を導入した会社に確かめる
関係するサービス
※金額は一例です。システムの構成や規模、作業の範囲によって変わります。
出典
Security NEXT「「Barracuda ESG」に深刻な脆弱性 - 連鎖でroot取得のおそれ」（2026年11月4日）
この記事は、上の出典をもとに当社がまとめ直したものです（生成AIで下書きし、担当者が確認しています）。詳しい内容や最新の状況は、出典をご確認ください。
