--- title: "Barracuda ESGの認証回避とコマンド注入、実悪用を確認。連鎖で無認証のままroot取得、CISAの期限は11月13日" description: "Barracudaは2026年11月9日の勧告更新で、Email Security Gatewayなどの脆弱性CVE-2026-116606（認証回避、CVSS 9.3）とCVE-2026-111560（コマンド注入、CVSS 8.6）の悪用を少数の組織で確認したと公表。米CISAは11月10日に両件をKEVへ追加し、連邦機関への対応期限を11月13日に設定した。対象製品とパッチを整理する" url: https://itpostjp.com/security/barracuda-esg-cve-2026-116606-111560-root-exploitation-kev/ category: "セキュリティ" published_at: 2026-11-10T21:38:00Z updated_at: 2026-11-10T21:38:00Z author: "IT Post編集部" editor: "編集長 千田智也" publisher: "IT Post by Rice Studio Lab" language: ja-JP ai_generated: true ai_model: muse-wonder terms: ["CVE（共通脆弱性識別子）", "エクスプロイト", "脆弱性"] --- # Barracuda ESGの認証回避とコマンド注入、実悪用を確認。連鎖で無認証のままroot取得、CISAの期限は11月13日 IT Post編集部 ＆ 編集長 千田智也 Barracudaは2026年11月9日の勧告更新で、Email Security Gatewayなどの脆弱性CVE-2026-116606（認証回避、CVSS 9.3）とCVE-2026-111560（コマンド注入、CVSS 8.6）の悪用を少数の組織で確認したと公表。米CISAは11月10日に両件をKEVへ追加し、連邦機関への対応期限を11月13日に設定した。対象製品とパッチを整理する ## 30秒で分かる結論 - Barracuda Networksは2026年11月9日夜（米東部時間）の勧告更新で、Email Security Gateway（ESG）などの脆弱性2件について、少数の組織を対象とした悪用活動を確認したと公表しました。攻撃者や被害組織の詳細は公表されていません。 - 脆弱性は、認証なしで設定インポート機能を呼び出せる認証回避CVE-2026-116606（CVSS 9.3、ESGのみ）と、管理者権限でOSコマンドをrootとして実行できるコマンド注入CVE-2026-111560（CVSS 8.6、6製品）です。組み合わせると、認証なしのまま機器のroot権限を取得できるとBarracudaは説明しています。悪用には、対象製品の管理画面（Admin UI）へ到達できることが必要です。 - 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年11月10日、両件を悪用が確認された脆弱性カタログ（KEV）へ追加し、連邦機関への対応期限を11月13日に設定しました。パッチは製品ごとに用意されており、自動適用されていない場合は手動で直ちに適用するよう求められています。 ## まず初めに メールを守るための門番の機械が、門番自身の鍵穴から開けられていた。しかも鍵は2本立てで、1本目は「ログイン不要」に後から格上げ（格下げ？）され、2本目は管理者の権限で最も強いrootとして命令を実行する。発表から1週間で、悪用の確認まで進んだ。対象は企業のメール出入口そのものだ。ここが開くと、届くメール全部と、その先の内側のネットワークが視界に入る。深刻な話なので、ふざけている場合ではないのだが、言っておく。この種の機器は「置いたら終わり」ではない。門番にも点検が要る。 ※個人の感想です ## 何が起きたのか Barracuda Networksは2026年11月2日、「Pre-Authentication Authorization Bypass and Command Injection Vulnerabilities in Certain Barracuda Products」と題するセキュリティ勧告を公表し、2件の脆弱性へのパッチを公開しました。 その後の更新は2段階あります。11月5日の更新では、CVE-2026-116606の「認証の要否」の欄が「必要（管理者アクセス）」から「不要（管理画面へのアクセスは必要）」へ変更されました。つまり、ログイン認証は不要で、管理画面に到達できれば悪用できる、というのが同社の現在の説明です。 そして11月9日21時（米東部時間）の更新で、同社は「少数の組織に影響する悪用活動を確認した」と追記しました。攻撃の手口の詳細、攻撃者、被害を受けた組織名や件数は公表されていません。 | 日付 | 出来事 | |---|---| | 2026年11月2日 | Barracudaが勧告とパッチを公表（CVE-2026-116606、CVE-2026-111560） | | 2026年11月5日 | 勧告を更新し、CVE-2026-116606は認証不要（管理画面への到達は必要）と訂正 | | 2026年11月9日21時（米東部時間） | 勧告を更新し、少数の組織への悪用を確認したと公表 | | 2026年11月10日 | 米CISAが両件をKEVカタログへ追加（連邦機関の対応期限は11月13日） | ![Barracudaの勧告とCISA KEVの内容（2件の脆弱性の連鎖と対象製品、期限）](/images/articles/barracuda-esg-cve-2026-116606-111560-root-exploitation-kev-inline-1.webp) ## 2件の脆弱性の中身 2件は役割が分かれており、組み合わせることで初めて「無認証でroot」が成立します。 | CVE | 種類と深刻度 | 対象製品 | 内容 | |---|---|---|---| | CVE-2026-116606 | 認証前の認可回避（Barracudaの深刻度はHigh、CVSS 9.3） | Email Security Gateway（ESG）のみ | 認証されていない遠隔の攻撃者が、設定インポート機能を呼び出し、細工した互換性のあるバックアップアーカイブを復元することで、機器全体の設定を不正に変更できる（CISA KEVの説明、CWE-288） | | CVE-2026-111560 | OSコマンド注入（同High、CVSS 8.6） | ESG、Load Balancer ADC、Message Archiver（BMA）、WAF Control Center（WCC）、Web Application Firewall（WAF）、Web Security Gateway（WSG） | 認証された管理者が、細工したタイムゾーンの値を通じてOSコマンドを注入でき、その後の処理でroot権限として実行される（CISA KEVの説明、CWE-78）。単独では管理者アクセスが必要 | Barracudaは、2件を組み合わせて悪用すると、認証の制御を回避して機器のrootアクセスを取得できる、と説明しています。連鎖が成立するのは、両方の脆弱性の影響を受けるESGだけです。他の5製品はコマンド注入のみが対象で、管理者アクセスが前提となります。 悪用の共通の前提は、攻撃者が対象製品の管理画面（Admin UI）に到達できることです。同社は、管理画面がインターネットから公開されていない組織は、この攻撃経路への露出が小さいとし、管理画面へのアクセスを信頼できる内部ネットワークに制限し、適切なネットワークアクセス制御を使うよう勧めています。 ## CISAの対応――期限は11月13日、侵害調査も要求 米CISAは2026年11月10日、両件をKEV（悪用が確認された脆弱性）カタログへ追加しました。連邦機関への対応期限は11月13日で、ランサムウェアへの利用は「不明（Unknown）」とされています。 あわせてCISAは、BOD 26-04に基づく対応と、フォレンジック・トリアージ（侵害の痕跡調査）の実施を求めています。これは、パッチを当てて終わりではなく、適用前にすでに侵入されていなかったかを確認する求めです。[GPUStackの事案](https://itpostjp.com/security/gpustack-cve-2026-102895-loopback-admin-bypass-kev/)と同様に、悪用が先に確認された脆弱性では、修正と調査の両方が必要になります。 ## 対象製品とパッチ Barracudaは製品ごとにパッチを用意しています（パッチIDはBleepingComputerが掲載したBarracudaのパッチ一覧に基づく）。 | 製品 | 対象のCVE | パッチ | |---|---|---| | Email Security Gateway（ESG） | 両方 | BNSF-40425（ファームウェア9.4.017以降）、BNSF-40430（9.4.017未満） | | Load Balancer ADC | CVE-2026-111560 | BNADC-16586 | | Message Archiver（BMA） | CVE-2026-111560 | BNMA-32468 | | WAF Control Center（WCC） | CVE-2026-111560 | BNWF-60060 | | Web Application Firewall（WAF） | CVE-2026-111560 | BNADC-16586 | | Web Security Gateway（WSG） | CVE-2026-111560 | BNYF-24789 | 同社は、パッチが自動適用されていない場合は適切なパッチをできるだけ早く手動で適用すること、自動パッチを無効にしている場合は自動で受け取る設定に戻すことを勧めています。あわせて、システムが最新のファームウェアで動作していることの確認も求めています。 管理者が今すぐ確認すべきことは、次の3点です。 - 自組織の対象製品にパッチが適用済みか（自動適用の有無を含む）を確かめる - 管理画面がインターネットへ公開されていないかを確認し、公開されている場合は内部ネットワークからのみに制限する - パッチ適用で終わらせず、設定の不正な変更など侵入の痕跡がないかを調べる ## IT Postの見方 IT Postでは、今回の件で最も引っかかるのは、11月5日の「認証不要」への訂正だと考えます。最初の勧告は「管理者アクセスが必要」と読める内容で、これなら優先度を一段下げて様子を見る管理者がいても不思議ではありません。ところが実際は、管理画面に届きさえすれば認証なしで設定を書き換えられる問題だった。優先順位の判断材料である「認証の要否」が、公表の3日後に静かに反転していたことになります。悪用の確認が11月9日に出た以上、この3日間の読み違いは、そのまま露出期間の差になりかねません。 もうひとつは、ESGという製品の位置です。メールの入口に立つ機器は、止めれば業務が止まり、開ければ組織の通信が丸見えになる。だからこそ、こうした機器の管理画面をインターネットに晒す運用は、それ自体が設計ミスとして扱うべきです。パッチの適用と公開範囲の見直しは、どちらか一方では足りません。CISAが期限を3日後の11月13日に切ったのは、その緊急度を物語っています。 ※個人の感想です ## 今後どうなりそうか Barracudaは、悪用の詳細や被害組織を公表していません。今後の確認点は、被害範囲の公表、攻撃の手口（侵入後に何が行われたか）の開示、そして各組織での侵害調査の結果です。ESGは過去にも標的になったことがある製品であり、今回も「パッチを当てたか」だけでなく「当てる前に侵入されていなかったか」が問われます。 IT Postでは、続報が公表された場合は本記事を更新します。 ## 情報源 「一次情報」は資料の出所を示す区分で、編集部による独立した実測や、すべての主張の実証を示すものではありません。確認の範囲や未確認の点は、本文の説明と併せてご覧ください。 - [Pre-Authentication Authorization Bypass and Command Injection Vulnerabilities in Certain Barracuda Products](https://trust.barracuda.com/security/pre-authentication-authorization-bypass-command-injection) — Barracuda Networks（一次情報） - [Known Exploited Vulnerabilities Catalog: CVE-2026-116606 Barracuda ESG Authentication Bypass Vulnerability](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-116606) — 米サイバーセキュリティ・インフラセキュリティ庁（CISA）（一次情報） - [Known Exploited Vulnerabilities Catalog: CVE-2026-111560 Barracuda Multiple Products OS Command Injection Vulnerability](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-111560) — 米サイバーセキュリティ・インフラセキュリティ庁（CISA）（一次情報） - [Hackers now exploit critical Barracuda ESG flaws to gain root access](https://www.bleepingcomputer.com/news/security/hackers-exploit-barracuda-email-security-gateway-flaws-to-get-root-access/) — BleepingComputer ## この記事に出てくるIT用語 - [CVE（共通脆弱性識別子）](https://itpostjp.com/terms/cve-common-vulnerabilities-and-exposures/): 世界中で見つかったソフトウェアの脆弱性一つひとつに割り振られる、共通の番号のことです。 - [エクスプロイト](https://itpostjp.com/terms/exploit/): ソフトウェアの脆弱性を実際に悪用し、不正な操作を実行するために作られたプログラムやコードのことです。 - [脆弱性](https://itpostjp.com/terms/vulnerability/): ソフトウェアやシステムに存在する、悪用されると情報の窃取や不正操作につながりかねない設計・実装上の欠陥のことです。 --- この記事は、公開情報と出典URLの検証、文章作成の一部に生成AIを使用しています。内容の責任はIT Post by Rice Studio Labが負います。 出典表記: IT Post by Rice Studio Lab — https://itpostjp.com/security/barracuda-esg-cve-2026-116606-111560-root-exploitation-kev/