Ing. Calogero Bono
Barracudaは、組み合わせることでリモートの攻撃者がログインなしでEmail Security Gateway上のrootとしてコマンドを実行できる、2つの脆弱性のパッチを公開しました。イタリアのCSIRTはアラートを発令し、概念実証（PoC）が利用可能であることを報告しています。セキュリティ企業watchTowrも、この脆弱性の連鎖に関する技術分析を公表しました。このアプライアンスは企業のメールを検査するため、外部に公開されている場合は非常に重要な侵入口になり得る点が重要です。
用語を確認しておきましょう CVEは既知の脆弱性を識別するコードです。PoC（概念実証）は、脆弱性を悪用できることを示すデモです。認証バイパスは、アクセス制御を迂回することを意味します。コマンドインジェクションは、データのみを入れるべき欄にシステムコマンドを挿入する攻撃です。CVSSは0から10までの深刻度スコアです。
Barracudaに何が起きたのか？
イタリアのACNのアラートによると、Barracudaの複数の製品に関わる2つの脆弱性、CVE-2026-116606とCVE-2026-111560のPoCが利用可能です。両者を組み合わせると、管理インターフェースに到達できるリモートの攻撃者が認証を回避し、任意のコードを実行できます。
The Hacker Newsによると、同社は月曜日にパッチを公開し、watchTowrは木曜日に連鎖の詳細を公表しました。
2つの脆弱性はどのように機能するのか？
CVE-2026-116606は認証バイパスで、CVSS 4.0で9.3です。影響を受けるのはEmail Security Gatewayのみです。ACNによると、管理者パスワードの変更処理の誤りから生じています。変更が失敗してもソフトウェアはエラーを報告するだけで、リクエストを止めません。
CVE-2026-111560はコマンドインジェクションで、CVSSは8.6です。タイムゾーンの欄（system_timezone）がシェルのメタ文字を無害化しておらず、コマンドが高い権限で実行されてしまいます。通常は管理者アカウントが必要ですが、ESGではバイパスによってそれが与えられてしまいます。
ログインなしでrootに到達するのはどのようにしてか？
The Hacker Newsが伝えるwatchTowrの分析によると、パスワード変更の失敗により、リクエストを遮断する代わりに権限の少ない役割が攻撃者に与えられます。これにより、バックアップの復元機能が開いたままになります。
アップロードされたバックアップには、アプライアンスがrootの権限でシェルコマンドとして実行するタイムゾーンの値が含まれています。Barracudaはバックアップをチェックサムで保護していますが、その計算に使う秘密鍵はコードに書かれているため、偽造が可能です。watchTowrは、rootとしてファイルを書き込むことでこの攻撃を実証しました。
どの製品が影響を受け、どのように修正するのか？
コマンドインジェクションは6つの製品に影響します。
- Email Security Gateway
- Load Balancer ADC
- Message Archiver
- WAF Control Center
- Web Application Firewall
- Web Security Gateway
ESG以外の5製品では、依然として管理者アカウントが必要です。Barracudaは製品ごとにパッチを用意しています。Email Security Gatewayはバージョン9.4.0.030以降で修正されています。すぐにアップデートできない場合は、管理インターフェースを信頼できる社内ネットワークに限定し、自動アップデートを無効にしていたなら再度有効にしてください。
留意すべき制限
2つの脆弱性はいずれも、CISAのKEVカタログには掲載されておらず、公的な報告でも攻撃との関連は確認されていません。watchTowrは検出ツールを公開しましたが、エクスプロイトは公開していません。今後、公開エクスプロイトが現れるかどうかはまだ分かりません。また、2つの情報源はバイパスの説明が少し異なっており、影響を受けるバージョンの完全な一覧はベンダーの公式告知にしか記載されていません。
デジタル業務に携わる人にとっての変化
会社でBarracudaのアプライアンスを使っている場合は、ただちにファームウェアのバージョンを確認し、パッチを適用してください。次に、管理インターフェースがインターネットから到達可能かどうかを確認してください。これがこの攻撃の前提条件だからです。インフラを管理している場合は、プライベートサブネットとセキュリティグループの方法でアクセスを制限できます。サーバーの運用を第三者に任せているなら、マネージドホスティングの場合と同様に、アップデートを誰が担当しているかを確認してください。
私たちの見解
この事例は典型的なミスを示しています。問題を検出しても処理を止めない検査は、ほとんど意味がありません。さらに、チェックサムに固定の秘密鍵がコードに埋め込まれており、これでは誰の侵入も防げません。境界防御が遠隔からのrootアクセスを開いてしまうべきではありません。また、rootで動作するインストールを狙ったAPTの脆弱性も思い出してください。過度に騒ぐ必要はありませんが、パッチの適用は今すぐ行うべきです。
よくある質問
Barracuda ESGの連鎖攻撃にはログインが必要ですか？
いいえ。The Hacker Newsによると、2つの脆弱性を組み合わせるとログインなしでrootを取得できます。ただし、攻撃者は管理インターフェースに到達できる必要があります。
Email Security Gatewayのどのバージョンが修正済みですか？
バージョン9.4.0.030以降です。製品ごとの詳細はBarracudaのセキュリティ告知を参照してください。
これらの脆弱性はすでに攻撃に使われていますか？
確認されていません。情報源によると、CISAのKEVカタログには掲載されておらず、攻撃と関連付ける公的な報告もありません。ただし、PoCは利用可能です。
すぐにアップデートできない場合はどうすればよいですか？
管理インターフェースを信頼できる社内ネットワークに限定してください。自動アップデートを無効にしていた場合は、再度有効にしてください。
2つのCVEを割り当てたのは誰ですか？
The Hacker Newsによると、Mandiantです。MandiantはバイパスをCVSS 9.3、コマンドインジェクションを8.6と評価しています。
今後数週間でBarracudaのアプライアンスについて確認すべきこと
パッチは提供されていますが、PoCが公開されており、告知から攻撃までの猶予は短くなりつつあります。状況を追い続けることをお勧めします。
- 2つのCVEがCISAのKEVカタログに追加されるか、公開エクスプロイトが出現するかを確認してください。
- watchTowrの検出ツールを使って、お使いのアプライアンスを点検してください。
- ESG以外の製品についてBarracudaの告知を読み直し、修正済みのバージョンを確認してください。
