Компания Barracuda признала, что злоумышленники уже эксплуатируют уязвимости в Email Security Gateway. Атаки затронули небольшое число организаций, но производитель пока не раскрыл масштаб ущерба. Исправления для уязвимых продуктов вышли ещё 2 ноября.
Проблема связана с двумя ошибками, CVE-2026-116606 (9,3 балла) и CVE-2026-111560 (8,6 балла). Первая позволяет обойти авторизацию, вторая выполнить команды с правами root. Исследователи watchTowr объединили обе уязвимости в один HTTP-запрос и продемонстрировали захват шлюза без пароля. Применяли ли нападавшие именно такой метод, пока неизвестно.
Для снижения риска недостаточно просто проверить номер прошивки. Barracuda рекомендует установить необходимые патчи и закрыть административные панели от интернета. Особого внимания требуют шлюзы ESG, поскольку для атаки на доступный интерфейс управления злоумышленникам не нужны учётные данные.