Ing. Calogero Bono
Barracuda telah merilis patch untuk dua kerentanan yang, jika digunakan bersama, memungkinkan penyerang jarak jauh menjalankan perintah sebagai root di Email Security Gateway tanpa login sama sekali. CSIRT Italia mengeluarkan peringatan dan menyebutkan tersedianya proof of concept (PoC). Perusahaan watchTowr telah mempublikasikan analisis teknis rantai serangan ini. Hal ini penting karena appliance tersebut menyaring email perusahaan dan, jika terbuka ke internet, menjadi titik masuk yang sangat sensitif.
Beberapa istilah sebelum masuk ke fakta. CVE adalah kode yang mengidentifikasi kerentanan yang sudah dikenal. PoC (Proof of Concept) adalah demonstrasi yang membuktikan cara mengeksploitasi suatu celah. Authentication bypass berarti melewati kontrol akses. Command injection adalah penyisipan perintah sistem ke dalam kolom yang seharusnya hanya berisi data. CVSS adalah skor tingkat keparahan dari 0 sampai 10.
Apa yang terjadi pada Barracuda?
Menurut peringatan dari ACN, tersedia PoC untuk dua celah, CVE-2026-116606 dan CVE-2026-111560, yang berdampak pada berbagai produk Barracuda. Jika digabung, keduanya memungkinkan penyerang jarak jauh yang bisa menjangkau antarmuka administrasi untuk melewati autentikasi dan menjalankan kode sembarang.
Seperti dilaporkan The Hacker News, perusahaan merilis patch pada hari Senin dan watchTowr merinci rantai serangan pada hari Kamis.
Bagaimana kedua celah ini bekerja?
CVE-2026-116606 adalah bypass autentikasi dengan skor 9,3 dari 10 (CVSS 4.0). Celah ini hanya berdampak pada Email Security Gateway. Menurut ACN, celah ini berasal dari kesalahan saat mengganti kata sandi administrator. Ketika penggantian gagal, perangkat lunak hanya menampilkan error tetapi tidak menghentikan permintaan.
CVE-2026-111560 adalah command injection dengan skor 8,6. Kolom zona waktu (system_timezone) tidak menetralkan metakarakter shell, sehingga perintah dijalankan dengan hak istimewa tinggi. Biasanya diperlukan akun administrator, tetapi pada ESG bypass tersebut memberikan akses itu.
Bagaimana sampai ke root tanpa login?
Menurut analisis watchTowr, yang dikutip The Hacker News, penggantian kata sandi yang gagal memberi penyerang peran dengan hak terbatas alih-alih menghentikan permintaan. Hal ini membuka fungsi pemulihan cadangan.
Cadangan yang diunggah berisi nilai zona waktu yang kemudian dijalankan appliance sebagai perintah shell dengan izin root. Barracuda melindungi cadangan dengan checksum, tetapi rahasia untuk menghitungnya tertulis di dalam kode, sehingga dapat dipalsukan. watchTowr membuktikan serangan ini dengan menulis sebuah file sebagai root.
Produk mana yang terdampak dan bagaimana memperbaikinya?
Command injection memengaruhi enam produk.
- Email Security Gateway
- Load Balancer ADC
- Message Archiver
- WAF Control Center
- Web Application Firewall
- Web Security Gateway
Pada kelima produk selain ESG, tetap diperlukan akun administrator. Barracuda menyediakan patch untuk setiap produk. Email Security Gateway sudah diperbaiki mulai versi 9.4.0.030. Jika belum bisa memperbarui sekarang, batasi antarmuka administrasi hanya untuk jaringan internal tepercaya dan aktifkan kembali pembaruan otomatis jika sebelumnya dinonaktifkan.
Batasan yang perlu diketahui
Kedua celah ini tidak tercantum dalam katalog KEV milik CISA, dan tidak ada laporan publik yang menghubungkannya dengan serangan. watchTowr merilis alat deteksi, tetapi bukan exploit. Masih perlu dilihat apakah exploit publik akan muncul. Kedua sumber menggambarkan bypass dengan cara yang sedikit berbeda, dan daftar lengkap versi yang terdampak hanya ada di buletin vendor.
Dampaknya bagi pekerja di bidang digital
Jika perusahaanmu menggunakan appliance Barracuda, segera periksa versi firmware dan terapkan patch. Setelah itu, cek apakah antarmuka administrasi dapat diakses dari internet, karena itulah syarat serangan ini. Bagi yang mengelola infrastruktur, aksesnya bisa dibatasi seperti pada subnet privat dan security group. Jika server dikelola pihak ketiga, tanyakan siapa yang menangani pembaruan, seperti pada hosting terkelola.
Pendapat kami
Kasus ini menunjukkan kesalahan klasik. Pemeriksaan yang mendeteksi masalah tetapi tidak menghentikan alur prosesnya tidak banyak gunanya. Ditambah lagi, adanya rahasia tetap di dalam kode untuk checksum yang tidak menghentikan siapa pun. Sebuah pertahanan perimeter seharusnya tidak membuka akses root jarak jauh. Ingat juga celah APT pada instalasi yang berjalan sebagai root. Tidak perlu panik, tetapi patch harus diterapkan sekarang.
Pertanyaan yang sering diajukan
Apakah perlu login untuk mengeksploitasi rantai serangan pada Barracuda ESG?
Tidak. Menurut The Hacker News, kedua celah yang digabungkan menghasilkan akses root tanpa login. Namun, penyerang tetap harus bisa menjangkau antarmuka administrasi appliance.
Versi Email Security Gateway mana yang sudah aman?
Versi 9.4.0.030 dan yang lebih baru. Rincian untuk setiap produk ada di buletin keamanan Barracuda.
Apakah celah ini sudah dipakai dalam serangan?
Belum ada laporan. Sumber-sumber menyebutkan bahwa celah ini tidak ada di katalog KEV CISA dan tidak ada laporan publik yang mengaitkannya dengan serangan. Namun, PoC sudah tersedia.
Apa yang harus saya lakukan jika belum bisa langsung memperbarui?
Batasi antarmuka administrasi hanya untuk jaringan internal tepercaya. Aktifkan kembali pembaruan otomatis jika sebelumnya kamu menonaktifkannya.
Siapa yang memberikan kedua CVE tersebut?
Mandiant, menurut The Hacker News. Mandiant, yang memberikan kedua CVE tersebut, menilai bypass dengan skor 9,3 dari 10 dan command injection dengan skor 8,6.
Hal yang perlu diperiksa dalam beberapa minggu ke depan pada appliance Barracuda
Patch sudah tersedia, tetapi PoC sudah beredar dan jarak antara pengumuman dan serangan bisa sangat singkat. Sebaiknya ikuti perkembangannya.
- Periksa apakah kedua CVE masuk ke katalog KEV CISA atau apakah exploit publik mulai beredar.
- Gunakan alat deteksi watchTowr untuk memeriksa appliance milikmu.
- Baca kembali buletin Barracuda untuk produk selain ESG dan pastikan versi yang benar.
