Исследователь из watchTowr Labs показал, как две уязвимости в Barracuda Email Security Gateway складываются в атаку без логина и пароля. Первая обходит аутентификацию на обработчике смены пароля. Вторая выполняет команды операционной системы при восстановлении резервной копии. Вместе они дают права root на почтовом шлюзе, который стоит на периметре и проверяет всю входящую почту.
Связка из двух уязвимостей
Разбор опубликовал Sina Kheirkhah из watchTowr Labs 5 ноября 2026 года. Он сравнил сборку 9.4.0.027 с исправленной 9.4.0.029 и нашёл изменения в обработчике смены пароля и в коде восстановления конфигурации. Уязвимости получили отдельные номера CVE, но максимальный эффект дают вместе.
Обход входа через смену пароля
Механизм обхода выглядит почти безобидно. Неаутентифицированный пользователь отправляет запрос на смену пароля, где новый пароль и его повтор не совпадают. Устройство отвечает сообщением об ошибке, но обработчик вместо остановки возвращает роль гостевого экрана входа и передаёт управление дальше по цепочке. Запрос доходит до функций, которые должны открываться только после успешного входа. Уязвимость получила оценку CVSS 9,3 и затрагивает только ESG.
Запись CVE-2026-116606 описывает и самостоятельное последствие обхода. Неаутентифицированный злоумышленник может запустить импорт конфигурации и восстановить подготовленный архив, то есть изменить глобальные настройки прибора. Атака идёт по сети, участие пользователя не требуется. Для сравнения, в комментарии к патчу разработчики указывали оценку 9,8 - вероятно, для обеих уязвимостей сразу.
Исправление меняет логику обработчика. При ошибке смены пароля запрос сразу завершается отдельным ответом, а не уходит дальше. Побочный эффект заметен администраторам: неудачные попытки теперь попадают в журнал аудита.
Команды root при восстановлении копии
Вторая уязвимость живёт в восстановлении резервной копии. Шлюз берёт значение часового пояса и подставляет его в команду, которую исполняет оболочка. Проверки нет, поэтому спецсимволы оболочки меняют структуру команды, и рядом с исходной выполняется произвольная. Сценарий установки пояса запускается через sudo, так что внедрённая команда получает права root. Оценка CVSS - 8,6, и без первой уязвимости для неё нужны права администратора.
Добраться до уязвимого кода можно штатным путём. Обработчик загрузки принимает файл копии и передаёт его на восстановление. Внутри архива лежит описание компонентов, среди них конфигурация антиспама - она восстанавливается в локальную базу данных. Одна из строк этой базы и есть часовой пояс.
Собрать копию самостоятельно несложно. Контрольные суммы файлов считаются по известному алгоритму с зашитой в код строкой. Поэтому проверка целостности не мешает подсунуть свой архив.
Что делать администраторам
Внедрение команд затрагивает не только ESG. В записи CVE-2026-111560 перечислены Load Balancer ADC, Web Application Firewall, Web Security Gateway, Message Archiver и WAF Control Center, у каждого свой потолок уязвимых версий. Обход аутентификации описан только для почтового шлюза.
С номером исправленной версии есть расхождение. watchTowr называет исправленной сборку 9.4.0.029, а запись CVE-2026-116606 считает уязвимыми все версии ниже 9.4.0.030. Практический вывод простой: нужна самая свежая сборка ветки 9.4, а у вендора стоит уточнить, закрывает ли установленная версия обе уязвимости.
Сведений об эксплуатации в реальных атаках пока нет. И watchTowr, и CISA в записях CVE отмечают, что уязвимости не применяют. Однако исследователи выложили генератор артефактов обнаружения на Python - он проверяет, уязвим ли конкретный шлюз к связке. Готовый инструмент снижает порог входа для тех, кто захочет повторить атаку.
ESG уже проходил через это. В 2023 году уязвимость CVE-2023-2868 в обработке архивов использовали в реальных атаках, а CISA внесла её в каталог известных эксплуатируемых уязвимостей KEV. Часть заражённых устройств пришлось менять физически. Поэтому патч здесь - не формальность.
После обновления администраторам стоит просмотреть журналы восстановления копий и проверить неожиданные изменения конфигурации. Административный интерфейс шлюза лучше не выставлять в интернет без необходимости. Отдельного внимания требует запуск необычных команд на устройстве: именно так выглядит успешная эксплуатация связки.
Ссылки
- https://labs.watchtowr.com/barracuda-networks-is-your-new-best-friend-barracuda-email-security-gateway-pre-auth-remote-root-rce-cve-2026-116606-cve-2026-111560/
- https://github.com/watchtowrlabs/watchTowr-vs-Barracuda-RCE-CVE-2026-116606-CVE-2026-111560
