Barracuda פרסמה ייעוץ אבטחה על שתי פגיעויות שאפשר לשרשר זו לזו כדי לקבל הרשאות root על המכשיר. אחת מהן, עקיפת הרשאות לפני אימות, מדורגת 9.3. לפי הפרסומים, הניצול דורש גישה לממשק הניהול של המוצר.
מה קרה
הפגיעות הראשונה, CVE-2026-116606 (CVSS 9.3, קריטית), היא עקיפת הרשאות לפני אימות והיא משפיעה על Email Security Gateway בלבד. השנייה, CVE-2026-111560 (CVSS 8.6, חמורה), היא הזרקת פקודות שמשפיעה על קשת רחבה יותר של מוצרים: Email Security Gateway, Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall ו-Web Security Gateway.
מספרי הגרסאות המושפעות והמתוקנות לא פורסמו בכתבה שעליה נשענו. Barracuda מבקשת לוודא שהקושחה מעודכנת ושכל התיקונים הותקנו; אם הקושחה מפגרת בכמה גרסאות, ייתכן שיידרשו כמה עדכונים.
| מזהים | CVE-2026-116606, CVE-2026-111560 |
| חומרה | 9.3 (קריטית) ו-8.6 (חמורה) |
| מנוצל בפועל | לא פורסם |
| גרסאות מושפעות | לא פורסם |
| תיקון | עדכון קושחה עדכני; מספרי גרסה לא פורסמו |
נקודות לשים לב
- בדוק בקונסולת הניהול שהקושחה של כל מכשיר Barracuda היא העדכנית, והתקן את כל העדכונים החסרים, גם אם נדרשים כמה.
- הגבל את ממשק הניהול לרשת פנימית מהימנה ולכתובות ניהול ידועות בלבד; כך צמצמת את הסיכון גם לפני העדכון.
- בדוק אם ממשק הניהול חשוף לאינטרנט, והסר חשיפה כזו.
- עד כה לא דווח על ניצול בפועל, אבל פגיעויות מסוג זה במוצרי אבטחה היקרים לתוקפים, ולכן אין סיבה להמתין.
מקורות: Barracuda Trust Center · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
