Barracuda heeft details bekendgemaakt van twee kwetsbaarheden in zijn producten die, wanneer ze gecombineerd worden, een aanvaller in staat kunnen stellen autorisatiecontroles te omzeilen en roottoegang tot een kwetsbaar apparaat te verkrijgen.
De kwetsbaarheden — een autorisatie-omzeiling vóór authenticatie en een command-injectie — hebben respectievelijk de CVE-identifiers CVE-2026-116606 (CVSS-score: 9.3) en CVE-2026-111560 (CVSS-score: 8.6) gekregen.
Terwijl CVE-2026-116606 alleen van invloed is op Email Security Gateway, treft CVE-2026-111560 de volgende Barracuda-producten:
- Email Security Gateway
- Load Balancer Application Delivery Controller
- Message Archiver
- WAF Control Center
- Web Application Firewall
- Web Security Gateway
Volgens Barracuda vereist succesvolle exploitatie dat een aanvaller toegang heeft tot de administratieve interface van een getroffen product. “Als deze kwetsbaarheden in combinatie worden uitgebuit, kan een aanvaller autorisatiecontroles omzeilen en roottoegang tot het apparaat verkrijgen.”
Barracuda benadrukt dat organisaties die hun administratieve interfaces niet aan het internet blootstellen, minder vatbaar zijn voor dit aanvalspad en raadt klanten aan de volgende stappen te volgen:
- Beperk toegang tot administratieve interfaces tot vertrouwde interne netwerken
- Gebruik passende netwerktoegangscontroles om blootstelling te beperken
“Klanten die deze producten gebruiken, moeten verifiëren dat hun systemen de nieuwste firmwareversies draaien en alle beveiligingspatches hebben ontvangen,” voegde het bedrijf toe. “Als de firmware op een apparaat meerdere versies verouderd is, moeten klanten mogelijk meer dan één update uitvoeren.”
