دروازه‌های امنیتی ایمیل Barracuda توسط vulns های make-me-root گاز گرفته شده است

شرکت امنیتی Barracuda هشدار می‌دهد که مهاجمان از یک باگ دور زدن مجوز پیش از احراز هویت و یک آسیب‌پذیری تزریق فرمان در محصولات محبوب Email Security Gateway (ESG) خود سوء استفاده می‌کنند که در صورت زنجیر کردن، به مجرمان اجازه می‌دهد تا دستورات با امتیازات ریشه را اجرا کنند.

این فروشنده امنیتی در به روز رسانی اواخر دوشنبه شب به توصیه امنیتی قبلی خود گفت: "ما فعالیت های بهره برداری را شناسایی کرده ایم که بر تعداد کمی از سازمان ها تأثیر می گذارد."

باراکودا از پاسخ به سؤالات The Register خودداری کرد، از جمله سؤالی در مورد تعداد سازمان هایی که توسط مهاجمان مورد حمله قرار گرفته اند. یک سخنگوی شرکت به ما گفت که "مستقیما" با مشاغل آسیب دیده "برای رسیدگی سریع به این مشکل کار کرده است. Barracuda به سرعت برای رفع آسیب‌پذیری‌ها اقدام کرد و وصله‌هایی را برای محصولات آسیب‌دیده منتشر کرد."

فروشنده هفته گذشته آسیب‌پذیری‌های CVE-2026-116606 و CVE-2026-111560 را فاش و برطرف کرد.

CVE-2026-116606 یک نقص بای پس مجوز پیش احراز هویت با رتبه 9.3 CVSS در ESG است. در حالی که برای سوء استفاده از این آسیب پذیری نیازی به احراز هویت نیست، مهاجم باید به رابط کاربری مدیریت دسترسی داشته باشد.

همانطور که Tausif Ahmed بنیانگذار Purplecop Security روز سه شنبه گفت: "اگر رابط کاربری مدیریت Email Security Gateway شما به اینترنت باز است، این اولین چیزی است که امروز می بندم."

CVE-2026-111560 یک نقص تزریق فرمان با رتبه 8.6 است که بر چندین محصول Barracuda تأثیر می گذارد: ESG، متعادل کننده بار (ADC)، بایگانی پیام (BMA)، فایروال برنامه وب (WAF)، مرکز کنترل WAF (WCC) و دروازه امنیت وب (WSG).

باراکودا در 2 نوامبر هشدار داد: «اگر این آسیب‌پذیری‌ها به صورت ترکیبی مورد سوء استفاده قرار گیرند، به مهاجم اجازه می‌دهد تا کنترل‌های مجوز را دور بزند و به دستگاه دسترسی ریشه داشته باشد».

ما هنوز نمی دانیم که چه کسی مسئول این حملات است، یا اینکه آیا مزاحمان به دسترسی روت دست یافته اند یا خیر – اما اگر این کار را انجام دهند، می توانند داده ها را بدزدند، درهای پشتی نصب کنند و کنترل کامل سیستم های آسیب دیده را در دست بگیرند.

این نوع سوء استفاده از دستگاه لبه توسط جاسوسان دولت چین مورد استفاده قرار گرفته است و در سال 2023 FBI مهاجمان مرتبط با PRC را به دلیل یک سری حملات که Barracuda ESG را برای استقرار بدافزار سفارشی و حفظ دسترسی به شبکه‌های با ارزش هدف قرار می‌داد، مقصر دانست. به گفته Mandiant، 27 درصد از سازمان های شناسایی شده تحت تأثیر نهادهای دولتی بودند.

بنابراین اگر قبلا انجام نداده اید: اکنون وصله کنید. ®