发生了什么
Barracuda 于 2026 年 11 月 2 日发布安全通告，披露两项影响多款产品的漏洞：预认证授权绕过 CVE-2026-116606 与操作系统命令注入 CVE-2026-111560。两项漏洞可被链式利用，攻击者绕过认证后可获得设备 root 访问权限。Barracuda 在 2026 年 11 月 9 日晚更新通告称，已观察到针对少数组织的利用活动。CISA 已于 2026 年 11 月 10 日将两项漏洞同时列入已知被利用漏洞目录（KEV），联邦机构修复期限均为 2026 年 11 月 13 日——只有 3 天，期限很紧。
Mandiant 于 2026 年 11 月 2 日同步发布了两份披露（MNDT-2026-0041、MNDT-2026-0042）。两项漏洞的发现时间分别为 2026 年 10 月 15 日（命令注入）与 10 月 22 日（授权绕过），均由 Barracuda 向 Mandiant 报告。
两项漏洞分别是什么
CVE-2026-116606：预认证授权绕过（CWE-288），CVSS 4.0 评分 9.3。影响 Barracuda Email Security Gateway（ESG）。攻击者无需认证即可调用配置导入功能、恢复一份特制的兼容备份包，从而擅自修改设备的全局配置。Barracuda 特别说明：利用该漏洞不需要认证，但前提是攻击者能够访问设备的管理界面。
CVE-2026-111560：操作系统命令注入（CWE-78），CVSS 4.0 评分 8.6。时区配置字段未正确处理 shell 元字符，已认证的管理员注入的 OS 命令会在该特制时区值随后被处理时以 root 权限执行。
概念上讲，攻击链是：先用 CVE-2026-116606 在无需认证的情况下改写设备配置，再用 CVE-2026-111560 把命令注入到以 root 权限运行的处理流程中，最终获得设备的 root 访问权限。
受影响产品与版本
- CVE-2026-116606：Email Security Gateway（ESG）低于 9.4.0.030 的版本。
- CVE-2026-111560：ESG 9.4.0.27 及更早版本；Load Balancer / Application Delivery Controller（ADC）6.4.0 及更早版本；Web Application Firewall（WAF）11.0.1 及更早版本；Web Security Gateway（WSG）16.1.100.100 及更早版本；Message Archiver（BMA）5.5.4.0 及更早版本；WAF Control Center（WCC）2.2.1 及更早版本。
修复：安全补丁与固件
Barracuda 已为受影响产品发布安全补丁，各产品对应的补丁编号如下：
- ESG：BNSF-40425（固件 9.4.017 及以上）、BNSF-40430（固件低于 9.4.017）
- ADC：BNADC-16586；WAF：BNADC-16586
- BMA：BNMA-32468；WCC：BNWF-60060；WSG：BNYF-24789
Barracuda 要求用户确认系统运行在最新固件版本并已应用全部安全补丁；如果设备固件落后多个版本，可能需要分多次更新。补丁未自动应用时应尽快手动应用；如果此前关闭了自动打补丁，Barracuda 建议重新开启自动接收补丁。
自查步骤
- 登录各 Barracuda 设备管理界面，核对产品型号、固件版本与已应用补丁，确认是否在上述受影响范围，并按上表应用对应补丁、升级到最新固件。
- 检查管理界面是否暴露在互联网上：Barracuda 明确指出，管理界面不向互联网公开的组织受此攻击路径的影响较小。应将管理界面限制在可信内网访问，并用网络访问控制进一步收紧。
- 如果管理界面曾经暴露在公网，或设备版本在受影响范围内且补丁尚未应用完成，建议联系 Barracuda 支持（support@barracuda.com）核查设备状态。
- 补丁安装后再次确认固件版本与补丁编号，确认设备已处于已修复状态。
与本栏目其他指南一致：本文只讲防御——受影响版本、修复版本与自查步骤，不写利用细节。