Firma Barracuda ujawniła szczegóły dwóch luk bezpieczeństwa, które po wykorzystaniu w łańcuch ataku pozwalają na przejęcie pełnej kontroli nad urządzeniem. Pierwsza z nich, CVE-2026-116606 o krytycznym współczynniku CVSS 9.3, dotyczy obejścia autoryzacji przed uwierzytelnieniem w systemach Email Security Gateway. Druga, CVE-2026-111560 (CVSS 8.6), to podatność typu command injection, która dotyka szerszej gamy produktów, w tym Load Balancer, WAF oraz Web Security Gateway.
Skuteczne przeprowadzenie ataku wymaga od napastnika uzyskania dostępu do interfejsu administracyjnego zainfekowanego produktu. Jeśli obie luki zostaną wykorzystane jednocześnie, atakujący może ominąć mechanizmy kontroli i uzyskać dostęp do konta root. Producent podkreśla, że kluczowym czynnikiem ryzyka jest wystawienie interfejsów zarządzania bezpośrednio do sieci publicznej.
Aby zminimalizować ryzyko, organizacje powinny ograniczyć dostęp do interfejsów administracyjnych wyłącznie do zaufanych sieci wewnętrznych i stosować odpowiednie mechanizmy kontroli dostępu sieciowego. Barracuda zaleca również pilną weryfikację wersji oprogramowania układowego i zainstalowanie wszystkich dostępnych poprawek bezpieczeństwa. W przypadku urządzeń z bardzo przestarzałym firmwarem konieczne może być przeprowadzenie serii aktualizacji.
