网络安全公司 Barracuda Networks 警告客户修补两个漏洞，攻击者利用这两个漏洞，可以在设备上以 root 权限执行命令。除邮件安全网关（ESG）外，负载均衡 ADC、邮件归档 BMA、WAF 控制中心 WCC、Web 应用防火墙 WAF 和 Web 安全网关 WSG 也受影响。Barracuda 表示已发布安全补丁。
第一个是严重级漏洞 CVE-2026-116606，源于邮件安全网关（ESG）的认证缺陷，攻击者可借此修改设备的全局配置。第二个是 CVE-2026-111560，拥有管理员权限的攻击者可以注入系统命令，这些命令会以 root 身份运行。
Barracuda 在公告中称，成功利用需要攻击者能访问受影响产品的管理界面：「如果组合利用，这些漏洞可能让攻击者绕过授权控制并获得设备 root 权限。」公司还称已立即启动修复流程，并为受影响产品发布了安全补丁。
邮件安全网关（ESG）同时受两个漏洞影响，补丁按固件版本区分：
其余产品只受 CVE-2026-111560 影响，补丁编号如下：
Barracuda 要求客户核对受影响产品和修复指南，确保系统运行最新固件、打齐全部安全补丁。由于利用漏洞需要访问管理界面，公司建议通过网络访问控制，把管理界面限制在受信任的内部网络，以减少暴露。
BleepingComputer 在报道中回顾，三年前 Barracuda 修补了 ESG 漏洞 CVE-2023-7102，黑客组织 UNC4841 曾将其作为零日漏洞利用，在未打补丁的设备上执行任意代码。同一年，UNC4841 还利用另一个零日漏洞 CVE-2023-2868 攻击 Barracuda ESG 设备，用于网络间谍活动。
Barracuda 后来披露，CVE-2023-2868 至少被利用了七个月，最早可追溯到 2022 年 10 月。据安全公司 Mandiant 称，2023 年那次攻击中被入侵的设备有近三分之一属于各国政府机构，多数在 2022 年 10 月至 12 月间被攻破。
这次的报道没有提到 CVE-2026-116606 和 CVE-2026-111560 已被在野利用。报道还介绍，Barracuda 成立于 2003 年，在全球拥有超过 20 万客户。
