Barracuda Networks mengumumkan dua celah keamanan yang, jika dieksploitasi bersamaan, memungkinkan penyerang melewati kontrol otorisasi dan mendapat akses root di perangkat. Advisori Barracuda terbit pada 2 November 2026, lalu diberitakan BleepingComputer dan The Hacker News sehari kemudian. Dari sumber yang kami baca, belum ada keterangan bahwa kedua celah ini sudah dipakai dalam serangan nyata.
Dua celah, satu rantai menuju root
CVE-2026-116606 (CVSS 9,3) adalah celah bypass otorisasi yang hanya menyentuh Email Security Gateway (ESG). Menurut BleepingComputer, celah ini memungkinkan penyerang mengubah konfigurasi global perangkat. CVE-2026-111560 (CVSS 8,6) adalah injeksi perintah yang menjalankan perintah sistem operasi sebagai root, dan celah ini ada di lebih banyak produk.
Barracuda menyebut keduanya berbahaya karena bisa dirangkai. Perusahaan menyatakan penyerang yang memanfaatkan keduanya dapat melewati kontrol otorisasi dan menguasai perangkat sebagai root. Syaratnya, penyerang harus bisa menjangkau antarmuka administrasi produk. Advisori tidak mencantumkan nama peneliti yang melaporkan celah, dan tidak menyebut rentang versi untuk produk selain ESG.
Produk yang terdampak CVE-2026-111560 adalah Email Security Gateway, Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall, dan Web Security Gateway. Hanya ESG yang juga terkena CVE-2026-116606.
Patch yang perlu dipasang
Barracuda menyediakan patch per produk. ESG memakai BNSF-40425 untuk firmware 9.4.017 ke atas dan BNSF-40430 untuk firmware yang lebih lama. Load Balancer ADC dan Web Application Firewall sama-sama memakai BNADC-16586. Message Archiver memakai BNMA-32468, WAF Control Center memakai BNWF-60060, dan Web Security Gateway memakai BNYF-24789.
Perangkat yang tertinggal beberapa versi firmware bisa membutuhkan lebih dari satu pembaruan sebelum patch masuk. Barracuda juga mendorong pelanggan yang mematikan pembaruan otomatis untuk mengaktifkannya kembali.
Langkah yang perlu diambil administrator
Pertama, periksa apakah organisasi Anda memakai salah satu produk di atas, lalu pastikan firmware terbaru dan patch yang sesuai sudah terpasang. Jika patch belum masuk otomatis, pasang secara manual mengikuti panduan di Barracuda Campus. Kedua, batasi antarmuka administrasi hanya untuk jaringan internal tepercaya dengan kontrol akses jaringan. Barracuda menyebut perangkat yang antarmuka adminnya tidak terbuka ke internet menghadapi risiko lebih rendah.
Perangkat tepi jaringan memang sering jadi sasaran. Kami sebelumnya membahas dua zero-day Ivanti Connect Secure yang dirangkai untuk akses root, dan pola serupa patut diwaspadai di perangkat lain. Untuk kasus Barracuda, tim keamanan sebaiknya memeriksa log akses antarmuka admin dan menghubungi [email protected] bila ragu soal versi firmware yang berjalan.
Sumber: advisori Barracuda, BleepingComputer, dan The Hacker News. Gambar: BleepingComputer.