watchTowr Labs công bố ngày 05/11/2026 một chuỗi khai thác trên Barracuda Email Security Gateway (ESG): hai lỗ hổng ghép lại cho kẻ tấn công chưa đăng nhập chạy lệnh với quyền root. Barracuda đã phát hành bản vá từ 02/11, trước khi watchTowr công bố chi tiết.

Hai lỗ hổng ghép lại thành RCE root

CVE-2026-116606 — bypass xác thực (CVSS 9.3, Critical). Lỗi nằm trong code Perl của ESG (Index.pm): khi đổi mật khẩu thất bại, handler trả về một role hợp lệ thay vì dừng xử lý. Nhờ đó, chức năng khôi phục backup cấu hình — vốn chỉ dành cho người đã đăng nhập — trở nên truy cập được mà không cần tài khoản.

CVE-2026-111560 — command injection (CVSS 8.6, High). Giá trị timezone trong backup được khôi phục rồi đưa thẳng vào shell command chạy với quyền root, không làm sạch ký tự đặc biệt. Kẻ tấn công nhét shell metacharacter vào timezone trong file backup giả là có lệnh root.

Ghép lại: không cần đăng nhập, upload một backup giả, đợi thiết bị chạy lệnh của mình với quyền root. watchTowr đã chứng minh toàn bộ chuỗi bằng cách ghi một file lên thiết bị với quyền root — và công bố tool phát hiện chứ không công bố exploit.

Ai bị ảnh hưởng

  • CVE-2026-116606 chỉ ảnh hưởng Email Security Gateway.
  • CVE-2026-111560 ảnh hưởng 6 sản phẩm Barracuda, trong đó có ESG, Web Application Firewall, Message Archiver, Load Balancer ADC, WAF Control Center, Web Security Gateway — nhưng trên 5 sản phẩm còn lại vẫn cần tài khoản admin mới khai thác được; chỉ trên ESG thì bypass mở cửa sẵn.
  • Ban đầu advisory của Barracuda ghi cả hai lỗi đều cần quyền admin; Mandiant (đơn vị cấp CVE) chấm bypass là không cần quyền, không cần tương tác — và Barracuda đã làm rõ từ 06/11 rằng kẻ tấn công không cần quyền admin.

Vá thế nào

  • ESG: lên 9.4.0.030 trở lên. Lưu ý mâu thuẫn nhỏ cần viết đúng: watchTowr ghi 9.4.0.029 đã vá, còn hồ sơ CVE ghi các bản trước 9.4.0.030 vẫn dính — nên khuyên lên 9.4.0.030 trở lên cho chắc.
  • Các sản phẩm còn lại: vá theo advisory của Barracuda cho từng dòng.
  • Chưa có báo cáo khai thác thực tế, chưa vào CISA KEV tính đến 06/11.

Cần làm gì ngay

  1. Vá ESG lên 9.4.0.030+ (và các thiết bị Barracuda khác theo advisory).
  2. Đừng để giao diện admin ESG lộ internet — chỉ cho mạng tin cậy truy cập. Thiết bị này từng bị nhóm UNC4841 khai thác zero-day năm 2023 (CVE-2023-2868) tới mức Barracuda phải thay phần cứng cho một số khách hàng.
  3. Chạy tool phát hiện của watchTowr để kiểm tra thiết bị có bị dò quét không, và rà log hoạt động khôi phục backup cấu hình xem có gì lạ.

Nguồn