CISA: Aktívan kihasznált belépési hiba a Barracuda levelezőátjárójában
A CISA 2026. november 10-én felvette a KEV (Known Exploited Vulnerabilities) katalógusba a Barracuda Networks Email Security Gateway (ESG) termékének CVE-2026-116606 azonosítójú biztonsági rését. A katalógusba vétel azt jelenti, hogy a hiba aktív, valós környezetben történő kihasználását megerősítették – hangsúlyozva, hogy ez a megerősített kihasználtság nem jelent fertőzöttségi arányt vagy elterjedtségi mutatót. Fontos: a katalógusba kerülés dátuma nem azonos a hiba felfedezésének vagy nyilvánosságra hozatalának időpontjával.
Kit érinthet?
A hiba a Barracuda Networks Email Security Gateway (ESG) készülékeit érinti. A gyártó tájékoztatása szerint a probléma lehetővé teszi, hogy egy távoli, hitelesítés nélküli támadó a hozzáférés-ellenőrzést megkerülve (alternatív útvonalon keresztül) meghívjon egy konfiguráció-importáló funkciót. Ezzel egy erre a célra készített, kompatibilis biztonsági mentési archívumot tud visszaállítani, ami a készülék globális konfigurációjának jogosulatlan módosítását eredményezi. A CISA tájékoztatása szerint a hiba összekapcsolható a CVE-2026-111560 azonosítójú sebezhetőséggel is.
Gyors védekezés
A CISA ajánlása szerint a rendszergazdáknak haladéktalanul alkalmazniuk kell a gyártó (Barracuda Networks) utasításai szerinti kockázatcsökkentő intézkedéseket. Ez azt jelenti, hogy a javítás vagy az áthidaló megoldás telepítéséhez a gyártó hivatalos tájékoztatását kell követni. Emellett a CISA felhívja a figyelmet a BOD 26-04 irányelv („Prioritizing Security Updates Based on Risk”) és a „Forensics Triage Requirements” (törvényszéki vizsgálati követelmények) betartására is. Felhőszolgáltatások esetén az irányelv megfelelő részeit kell alkalmazni.
Tartós orvoslás
Amennyiben a gyártó által ajánlott kockázatcsökkentő lépések nem állnak rendelkezésre, a CISA azt javasolja, hogy az érintett szervezetek fontolják meg a termék használatának felfüggesztését. A felelősségvédelem az üzemeltetőké: nekik kell felmérniük, hogy az adott eszköz mennyire van kitéve az internetes forgalomnak, és biztosítaniuk kell a BOD 26-04 szerinti frissítési irányelvek betartását. A hiba kijavításához a gyártó hivatalos közleménye az irányadó, a jelenlegi bejegyzés nem tartalmaz verziószámokat vagy konkrét javítási csomagokat.
—
*Gyakorlati értelmezés az olvasóink számára: A levélszűrő készülékek üzemeltetőinek – jellemzően az IT-részlegnek vagy a hálózati adminisztrátoroknak – azonnal ellenőrizniük kell a Barracuda ESG-készülékek konfigurációját, és gyártói útmutató alapján mérlegelniük kell az érintett eszközök internetes elérésének korlátozását is. Mivel ez hardveres átjáró, nem webszerver, így a honlap tárhelyszolgáltatója nem érintett; a kapcsolattartó a saját IT-üzemeltető.*
Forrás és ellenőrzés
Az összefoglaló alapja: CISA KEV (2026-11-10). A változó műszaki részleteket a hivatkozott elsődleges forrás alapján ellenőrizd.
Kivel vedd fel a kapcsolatot?
Saját fejlesztés vagy bővítmény érintett
Jelezd a fejlesztőnek a CVE-azonosítót és az érintett verziót. Kérd a gyártói javítás ellenőrzését és tesztelését.
Tárhely, szerver vagy kezelt szolgáltatás érintett
Kérdezd meg a szolgáltatót, hogy ő kezeli-e az érintett összetevőt, és mikor ellenőrzi vagy telepíti a javítást.
Gyanús működést látok
Jelezd az üzemeltetőnek vagy a biztonsági felelősnek. Őrizd meg a naplókat, és egyeztess az érintett rendszer elkülönítéséről.
A weboldalon megjelenő szöveges és vizuális tartalmak előállításához mesterséges intelligenciát (AI) használunk.