Firma Barracuda wydała poprawki dla dwóch krytycznych podatności, które połączone mogą prowadzić do uzyskania uprawnień roota w urządzeniach Email Security Gateway (ESG). Pierwsza z nich, CVE-2026-116606, to błąd obejścia uwierzytelniania, który pozwala nieautoryzowanemu napastnikowi na modyfikację globalnej konfiguracji poprzez wgranie złośliwego archiwum kopii zapasowej. Drugi błąd, CVE-2026-111560, to podatność typu command injection w ustawieniach strefy czasowej, która dotyczy również innych produktów firmy, takich jak Load Balancer ADC czy Web Application Firewall.
Atakujący musi mieć możliwość dotarcia do interfejsu administracyjnego urządzenia, aby wykorzystać te luki. Eksperci zalecają, aby interfejsy te były dostępne wyłącznie z zaufanych sieci wewnętrznych. Producent podkreśla konieczność pilnej aktualizacji oprogramowania układowego do najnowszych wersji oraz ręcznej instalacji łatek w przypadku wyłączonej automatycznej aktualizacji.
