Barracuda сообщила о реальных атаках через недавно исправленные уязвимости своих продуктов. Обновление появилось вечером 9 ноября по времени восточного побережья США — уже 10 ноября по UTC. Производитель говорит о небольшом числе затронутых организаций, но не раскрывает их количество, сроки атак и последствия.

На почтовом шлюзе Email Security Gateway (ESG) две ошибки позволяют получить права root — полный контроль над устройством — без входа в учётную запись. Для этого злоумышленнику должен быть доступен веб-интерфейс администрирования. Это существенное условие: возможность открыть страницу управления не означает, что атакующий знает пароль.

В разборе watchTowr от 5 ноября показано, как неудачная попытка смены пароля оставляла обработку запроса активной и открывала путь к восстановлению настроек из поддельной резервной копии. Внесённое через неё значение часового пояса попадало в системную команду. Проверку целостности копии удавалось пройти, поскольку используемый для неё секрет был встроен в код. Исследователи продемонстрировали выполнение команды с высшими правами на тестовом шлюзе.

Обход авторизации CVE-2026-116606 относится только к ESG. Ошибка выполнения команд CVE-2026-111560 затрагивает ещё пять продуктов Barracuda, но отдельно требует административного доступа. Исправления выпущены; компания призывает проверить их установку и ограничить доступ к панели управления. В бюллетене пока нет сведений, позволяющих оценить кражу данных или подтвердить устранение последствий уже состоявшихся взломов.