Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-111560 |
| Źródło alertu | CISA KEV - Aktywna eksploatacja |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-11-10 |
| Producent | Barracuda Networks |
| Produkt | ESG / WAF / Load Balancer ADC / BMA / WCC / WSG |
| Typ podatności | wstrzykiwanie poleceń systemu operacyjnego (CWE-78) |
| CVSS Score | 8.6 (Wysoki, CVSS 4.0) |
| EPSS Score | 1.1% (percentyl: 65%) |
| CISA KEV | Tak - potwierdzona aktywna eksploatacja |
| Ransomware | Nie potwierdzono |
| Termin na reakcję | 2026-11-13 |
Opis podatności
Źródło: CISA KEV, NVD
Urządzenia Barracuda Networks — Email Security Gateway (ESG), Load Balancer / Application Delivery Controller (ADC), Message Archiver (BMA), WAF Control Center (WCC), Web Application Firewall (WAF) i Web Security Gateway (WSG) — korzystają ze wspólnego kodu, który nie neutralizuje metaznaków powłoki w polu konfiguracji strefy czasowej. Uwierzytelniony administrator może wstrzyknąć polecenia systemu operacyjnego, które wykonają się z uprawnieniami root, gdy spreparowana wartość strefy czasowej zostanie później przetworzona.
Lukę można połączyć z CVE-2026-116606 — obejściem uwierzytelnienia w Barracuda ESG, które pozwala nieuwierzytelnionemu atakującemu wgrać spreparowaną kopię konfiguracji. Taki łańcuch prowadzi do wykonania kodu jako root bez znajomości poświadczeń. CISA potwierdziła aktywne wykorzystanie luki i wyznaczyła agencjom federalnym USA termin reakcji do 13 listopada 2026 r. Lukę zgłosił Mandiant (MNDT-2026-0041).
Wymagane działania
- Wdróż poprawki i zalecenia producenta z biuletynu Barracuda (link w źródłach) na wszystkich wymienionych urządzeniach, także tych utrzymywanych przez partnera.
- Ogranicz dostęp do interfejsów administracyjnych do zaufanych adresów — panel zarządzania nie powinien być osiągalny z internetu.
- Sprawdź urządzenia pod kątem śladów kompromitacji: nieoczekiwanych zmian strefy czasowej i konfiguracji, nieznanych kont administratorów, nietypowych procesów i połączeń wychodzących.
- Jeśli dla danego urządzenia poprawka nie jest dostępna, rozważ jego wyłączenie lub odcięcie od sieci do czasu jej wydania (zgodnie z zaleceniem CISA).
Kogo dotyczy?
Podatność dotyczy urządzeń Barracuda Networks: Email Security Gateway (ESG), Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall i Web Security Gateway. Bramki pocztowe i WAF Barracudy są obecne w polskich firmach średniej wielkości i w sektorze publicznym — zwykle na brzegu sieci, co czyni je atrakcyjnym celem. Listę podatnych wersji podaje biuletyn producenta.
Źródła
- NVD - CVE-2026-111560
- Barracuda Trust Center - biuletyn bezpieczeństwa
- Mandiant MNDT-2026-0041
- CISA KEV Catalog
- FIRST EPSS
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
Najczęściej zadawane pytania
Czym jest podatność CVE-2026-111560?
CVE-2026-111560 to luka typu wstrzykiwanie poleceń systemu operacyjnego (CWE-78) w polu strefy czasowej urządzeń Barracuda (ESG, WAF, Load Balancer ADC, BMA, WCC, WSG). Pozwala wykonać polecenia z uprawnieniami root. Ocena CVSS 4.0: 8.6; luka jest w katalogu CISA KEV.
Czy do wykorzystania CVE-2026-111560 potrzebne jest uwierzytelnienie?
Sama luka wymaga uprawnień administratora, ale w połączeniu z CVE-2026-116606 (obejście uwierzytelnienia w ESG) atakujący nie potrzebuje żadnych poświadczeń. Taki łańcuch jest wykorzystywany w realnych atakach.
Jak zabezpieczyć się przed CVE-2026-111560?
Wdrożyć poprawki z biuletynu Barracuda, odciąć interfejsy administracyjne od internetu i sprawdzić urządzenia pod kątem śladów kompromitacji. Termin CISA na reakcję to 13 listopada 2026 r.
Kogo dotyczy CVE-2026-111560?
Organizacji korzystających z urządzeń Barracuda Email Security Gateway, Web Application Firewall, Load Balancer ADC, Message Archiver, WAF Control Center lub Web Security Gateway.
