Barracuda Networks merilis perbaikan untuk dua celah yang ditemukan Mandiant di Email Security Gateway (ESG) dan beberapa produk lain buatan perusahaan itu. Menurut Barracuda, kedua celah bila dirantai bisa dipakai untuk melewati kontrol otorisasi dan mendapat akses root ke perangkat. Barracuda dan sumber yang kami baca belum menyebut adanya eksploitasi di dunia nyata.
Dua celah, satu rantai
Celah pertama, CVE-2026-116606, adalah bypass autentikasi di ESG dengan skor CVSS 9,3. Celah ini memungkinkan perubahan pada konfigurasi global perangkat. Mandiant menyebut penyerang jarak jauh bisa memakainya tanpa login, sedangkan advisori Barracuda mencantumkan akses admin sebagai syarat. Perbedaan dua keterangan ini belum dijelaskan di sumber, jadi anggap risikonya tinggi sampai ada kejelasan.
Celah kedua, CVE-2026-111560 (CVSS 8,6), adalah command injection pada pengaturan zona waktu di kode yang dipakai bersama banyak produk. Penyerang yang sudah punya hak admin bisa menjalankan perintah sistem operasi sebagai root. Mandiant melaporkan celah injeksi pada 15 Oktober 2026 dan celah bypass pada 22 Oktober 2026, dengan advisori MNDT-2026-0041 dan MNDT-2026-0042.
Produk terdampak untuk CVE-2026-111560 mencakup Email Security Gateway, Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall, dan Web Security Gateway.
Versi yang perlu dicek
Pusat Siber Kanada dalam advisori AV26-1112 yang terbit 2 November 2026 mencantumkan batas versi terdampak: ESG sebelum 9.4.0.030, Load Balancer ADC sebelum 6.4.0, WAF sebelum 11.0.1, Web Security Gateway sebelum 16.1.100.100, Message Archiver sebelum 5.5.4.0, dan WAF Control Center sebelum 2.2.1. Artinya, menjalankan versi tersebut atau yang lebih baru seharusnya sudah memuat perbaikan. Advisori itu sendiri tidak menyebut nomor CVE, jadi cocokkan dengan pengumuman Barracuda.
Satu catatan: sumber yang kami baca tidak menyebut versi perbaikan terpisah per CVE, sehingga angka di atas diambil dari batas versi terdampak.
Langkah untuk administrator
Barracuda menyarankan pelanggan memasang firmware terbaru dan memastikan semua patch yang tersedia benar-benar terpasang. Pasang secara manual patch yang belum terpasang otomatis, lalu aktifkan kembali pembaruan otomatis di perangkat yang fitur itu dimatikan. Batasi antarmuka admin hanya untuk jaringan internal tepercaya, karena kedua celah mensyaratkan penyerang bisa menjangkau antarmuka tersebut.
Konteksnya relevan: perangkat ESG pernah menjadi target peretas yang mengeksploitasi zero-day CVE-2023-2868 sejak Oktober 2022, dan Barracuda saat itu meminta pelanggan mengganti perangkat yang terkompromi. Tim yang mengelola gateway email di perusahaan atau instansi sebaiknya memeriksa versi hari ini dan memastikan panel admin tidak terbuka ke internet.
Sumber: SecurityWeek dan Pusat Siber Kanada. Gambar: SecurityWeek.