CVE-2026-116606CVSS 9.3ESG 配置导入认证绕过
ESG 9.4.0.030 之前，未认证的远程攻击者可恢复特制的兼容备份，修改全局配置。Mandiant 的 CVSS 4.0 评分为 9.3。
Barracuda ESG 认证绕过可与 root 命令注入漏洞组合利用
Barracuda 披露 ESG 配置导入认证绕过，以及六类设备共用的时区命令注入漏洞。应限制管理访问、升级固件并核验对应安全补丁；只看固件版本号不够。
- 披露时间
- 2026年11月2日
- 公开披露日期
- 严重程度
- CVSS 9.3 × 1
- 本页收录 2 个 CVE
- 波及范围
- 设备管理界面可达；单独利用命令注入需要已认证的管理员
- barracuda
- 在野利用
- 未知
- 披露材料尚未证实在野利用。
发生了什么
Barracuda 表示，攻击者能够访问管理界面时，可以组合利用两项漏洞获得 root 权限。认证绕过仅列出 ESG 受影响，不能将这条未认证攻击链推广到其他所有产品。
Mandiant 列出的命令注入受影响范围为：ESG 至 9.4.0.27、ADC 至 6.4.0、WAF 至 11.0.1、WSG 至 16.1.100.100、BMA 至 5.5.4.0、WCC 至 2.2.1。单独利用时区漏洞需要管理员认证。ESG 配置导入绕过的范围不同，为 9.4.0.030 之前。
厂商页面将两项漏洞都标为“需要认证：是，管理访问”，但同时称第一项发生在认证前，并描述了组合绕过授权。Mandiant 明确表示，ESG 导入攻击者无需认证。应将管理服务可达视为暴露，不能依赖管理员登录门槛来防御 ESG 组合攻击。
上表补丁编号照录自 Barracuda，包括 ADC 和 WAF 都使用 BNADC-16586。某个 CVE 的固件版本范围不能确定所有产品的安全版本，也不能替代补丁安装核验。现有披露未证实实际攻击、受害者数量或公开利用代码。因影响主流边缘及邮件设备，评为 L3。
马桶里有什么
CVE-2026-111560CVSS 8.6时区命令注入
已认证的管理员可在时区配置中放入 shell 元字符，随后处理该值时以 root 执行命令。CVSS 4.0 评分为 8.6。
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| ESG | Latest firmware + BNSF-40425 (9.4.017+); BNSF-40430 (<9.4.017) | 核验补丁已安装；厂商未给出同时覆盖两项漏洞的统一安全固件下限 |
| Load Balancer ADC | Latest firmware + BNADC-16586 | 核验补丁已安装；厂商未给出同时覆盖两项漏洞的统一安全固件下限 |
| Message Archiver (BMA) | Latest firmware + BNMA-32468 | 核验补丁已安装；厂商未给出同时覆盖两项漏洞的统一安全固件下限 |
| WAF Control Center (WCC) | Latest firmware + BNWF-60060 | 核验补丁已安装；厂商未给出同时覆盖两项漏洞的统一安全固件下限 |
| Web Application Firewall (WAF) | Latest firmware + BNADC-16586 | 核验补丁已安装；厂商未给出同时覆盖两项漏洞的统一安全固件下限 |
| Web Security Gateway (WSG) | Latest firmware + BNYF-24789 | 核验补丁已安装；厂商未给出同时覆盖两项漏洞的统一安全固件下限 |
案发时间线
2026年10月15日
报告命令注入问题
此为 Mandiant 披露时间线中的报告日期，并非公开披露日。
2026年10月22日
报告配置导入问题
日期来自 Mandiant 的披露时间线。
2026年11月2日
Barracuda 与 Mandiant 公开两项公告
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Barracuda 产品公告一手来源11月2日公开；列出六类产品、补丁编号及管理访问建议。其认证标签与认证前绕过描述存在矛盾。
- Mandiant MNDT-2026-0042一手来源ESG 9.4.0.030 之前，可未认证导入特制备份。
- Mandiant MNDT-2026-0041一手来源已认证管理员可利用时区命令注入；列出六类产品的受影响版本范围。