脆弱性の詳細
Barracuda社は、メールセキュリティゲートウェイ（Email Security Gateway - ESG）デバイスにおける2つのセキュリティ脆弱性を修正するためのソフトウェアパッチのリリースを発表しました。これら2つの脆弱性は、連鎖的に悪用されることで、影響を受けるデバイスへの完全なアクセス権限（Root）を取得できる可能性があります。
最初の脆弱性（CVE-2026-116606）は、認証メカニズムのバイパスに関するもので、ESGデバイスのみに影響します。これにより、認証されていない攻撃者が設定インポート機能を呼び出し、改ざんされたバックアップアーカイブを復元することが可能になり、デバイスのグローバル設定に対する不正な変更が引き起こされます。この脆弱性は、CVSSスケールで9.3の深刻度評価を受けています。
2番目の脆弱性（CVE-2026-111560）は、タイムゾーン設定におけるコマンドインジェクション（Command Injection）の脆弱性であり、ESGデバイスに加え、ロードバランサー（ADC）やWebアプリケーションファイアウォール（WAF）を含むBarracudaの他の5つの製品に影響を与えます。8.6の評価を受けたこの脆弱性は、管理者権限を持つユーザーがルート権限でオペレーティングシステムのコマンドを実行することを可能にします。
なぜこのニュースが重要なのか？
危険性は、これら2つの脆弱性を組み合わせることで、攻撃者が認可制御をバイパスし、デバイスを完全に制御できる可能性があることにあります。メールセキュリティデバイスは組織における第一防衛線として機能するため、その侵害は、スパイ活動や機密通信の傍受を含む、広範囲なセキュリティ脅威への道を開くことになります。
ユーザーは何をすべきか？
Barracuda社は、すべての顧客に対し、直ちに以下の措置を講じることを推奨しています：
- デバイスを最新のファームウェア（Firmware）バージョンにアップデートし、利用可能なすべてのパッチがインストールされていることを確認する。
- 自動アップデートが無効になっている場合は有効にし、自動的に適用されなかったパッチがあれば手動でインストールすることを確認する。
- 攻撃対象領域を最小限に抑えるため、デバイス管理インターフェライスへのアクセスを信頼できる内部ネットワークのみに制限する。
これらの脆弱性の発見に貢献したMandiant社は、ESGにおける認証バイパスの脆弱性は資格情報を必要とせずに悪用できる可能性があると指摘しており、修正の最優先事項となっています。