Ing. Calogero Bono
Barracuda已发布两个漏洞的补丁，这两个漏洞组合使用时，远程攻击者无需任何登录即可在Email Security Gateway上以root身份执行命令。意大利CSIRT发布了预警，并提示已有概念验证（PoC）可用。watchTowr公司则发布了这一漏洞链的技术分析。这一点很重要，因为该设备负责过滤企业邮件，一旦暴露在外网，就会成为非常敏感的入口。
在深入事实之前，先了解几个术语。 CVE是已知漏洞的编号。PoC（概念验证）是展示如何利用某个漏洞的演示。Authentication bypass指绕过访问控制。Command injection是指把系统命令注入到本应只包含数据的字段中。CVSS是从0到10的严重程度评分。
Barracuda到底发生了什么？
据意大利ACN的预警，针对两个漏洞（CVE-2026-116606和CVE-2026-111560）已有概念验证代码，它们影响Barracuda的多款产品。两者组合后，能够触达管理界面的远程攻击者可以绕过身份验证并执行任意代码。
据The Hacker News报道，厂商周一发布了补丁，watchTowr则在周四详细披露了这一漏洞链。
这两个漏洞是如何运作的？
CVE-2026-116606是一个身份验证绕过漏洞，评分为9.3（CVSS 4.0）。它只影响Email Security Gateway。据ACN称，该问题源于管理员修改密码时的错误。修改失败时，软件会报告错误，却没有终止请求。
CVE-2026-111560是一个评分为8.6的命令注入漏洞。时区字段（system_timezone）没有对shell元字符进行转义，因此命令会以提升的权限执行。通常这需要管理员账户，但在ESG上，绕过漏洞恰恰提供了这种权限。
如何在无需登录的情况下获得root权限？
据The Hacker News转述的watchTowr分析，修改密码失败时，攻击者会被赋予一个权限很低的角色，而不是请求被直接阻断。这样就留下了一个备份恢复功能的入口。
被上传的备份文件中包含一个时区值，设备随后会以root权限将其作为shell命令执行。Barracuda使用校验和保护备份，但计算校验和所用的密钥写死在代码中，因此可以被伪造。watchTowr通过以root身份写入一个文件证明了这次攻击。
哪些产品受影响，如何修复？
命令注入漏洞影响六款产品。
- Email Security Gateway
- Load Balancer ADC
- Message Archiver
- WAF Control Center
- Web Application Firewall
- Web Security Gateway
对于ESG以外的五款产品，攻击者仍需要管理员账户。Barracuda为每款产品都提供了补丁。Email Security Gateway从9.4.0.030版本起已修复。如果你无法立即更新，请将管理界面限制在受信任的内部网络中，并在之前关闭了自动更新的情况下重新开启。
需要了解的局限
CISA的KEV目录中并未收录这两个漏洞，也没有任何公开报告将它们与实际攻击联系起来。watchTowr发布了一个检测工具，但不是攻击代码。是否会出现公开的利用代码还有待观察。两家信息来源对绕过方式的描述略有不同，而完整的受影响版本列表只存在于厂商的公告中。
这对数字行业从业者意味着什么
如果你的公司使用Barracuda设备，请立即检查固件版本并安装补丁。然后确认管理界面是否可以从互联网访问，因为这正是攻击的前提条件。负责基础设施的人可以像配置私有子网和安全组那样限制访问。如果你的服务器交由第三方托管，请询问对方由谁负责更新，就像在托管主机服务中那样。
我们的看法
这个案例暴露了一个典型错误，一个只报告问题却不中断流程的检查机制毫无价值。再加上用于校验和的密钥被硬编码在代码中，等于没有保护。边界防御设备本不应开放远程root访问。也要记住APT以root权限安装时的漏洞。不必过度恐慌，但补丁现在就应该打。
常见问题
在Barracuda ESG上利用该漏洞链是否需要登录？
不需要。据The Hacker News报道，这两个漏洞组合后可在无需登录的情况下获得root权限。但攻击者必须能够访问设备的管理界面。
哪些版本的Email Security Gateway已修复？
9.4.0.030及更高版本。每个产品的详细信息见Barracuda的安全公告。
这些漏洞是否已被用于实际攻击？
目前没有相关报告。据来源称，它们未被收录在CISA的KEV目录中，也没有公开报告将其与攻击联系起来。不过，概念验证代码已经可以获取。
如果无法立即更新，我该怎么办？
将管理界面限制在受信任的内部网络中。如果你之前关闭了自动更新，请重新开启。
这两个CVE是由谁分配的？
据The Hacker News报道，由Mandiant分配。Mandiant对绕过漏洞给出了9.3分，对命令注入漏洞给出了8.6分。
未来几周你应关注Barracuda设备的哪些情况
补丁已经发布，但概念验证代码已经可用，从公告到攻击出现的时间窗口正在缩短。建议持续关注事态发展。
- 查看这两个CVE是否进入CISA的KEV目录，或是否出现公开的利用代码。
- 使用watchTowr的检测工具检查你的设备。
- 重新查阅Barracuda针对ESG以外产品的公告，并确认正确的版本。
