Barracuda ESG脆弱性CVE-2026-116606の認証バイパスの仕組みと修正手順

CVE-2026-116606とは——Barracuda ESGで何が起きるか

2026年11月2日、Barracuda Networks社のBarracuda Email Security Gateway（ESG）に深刻な認証バイパス脆弱性が公開された。CVE識別番号はCVE-2026-116606、採番元のCNAはMandiantで、最終更新は2026年11月3日となっている（出典：CVE公式記録 — cve.org）。

CVSS 4.0スコアは9.3でCRITICALに分類される。攻撃ベクターはネットワーク経由（AV:N）、攻撃条件の複雑さは低く（AC:L）、特権不要（PR:N）、ユーザー操作も不要（UI:N）という評価であり、機密性・完全性・可用性いずれへの影響もHighとされている（評価者：Mandiant）。

脆弱性の種別はCWE-288「代替パスまたはチャネルを用いた認証バイパス」に分類される。攻撃者は設定インポート機能を認証なしで呼び出し、偽造した互換性のあるバックアップアーカイブを復元することで、アプライアンスのグローバル設定を不正に書き換えることができる。管理者アカウントを持たない外部の攻撃者が、ネットワーク越しに設定変更を達成できるという点がこの脆弱性の核心だ。

関連記事Citrix NetScaler脆弱性の対象版と更新は？ ／ Ivanti Connect Secureは悪用されている？

CVE-2026-116606が意味すること

設定インポート機能は通常、バックアップや移設の際に使われる管理機能だが、この脆弱性はその機能が認証なしで外部から呼び出せる状態にあることを意味する。

攻撃が成立した場合、アプライアンスのグローバル設定が不正に変更される可能性がある。

さらに、Barracudaのセキュリティ告知（出典：Barracuda Networks セキュリティ告知 — trust.barracuda.com）では、別の脆弱性CVE-2026-111560（コマンドインジェクション）と組み合わせて悪用された場合、認可制御を回避してルート権限を取得できる可能性があるとされている。CVE-2026-111560はESGに加え、ADC、BMA、WCC、WAF、WSGの各製品にも影響する。

CISA KEV（既知悪用脆弱性カタログ）への掲載は確認されていない。EPSS（悪用される確率の統計的推定値）は2026年11月4日時点で0.00728（パーセンタイル：約0.543）と低い水準にある（出典：CVE公式記録 — cve.org）。ただしEPSSはあくまで過去の実績に基づく確率の推定であり、将来の悪用可能性を保証も否定もしない点は理解しておく必要がある。ベンダー告知およびMandiant勧告には、現時点で実際に悪用されたとの記述はない。

AIとの直接的な関係は確認されていない。AIが発見した脆弱性でも、AI製品の欠陥でも、AIを利用した攻撃の報告でもない。

CVE-2026-116606の影響バージョンと修正パッチ

影響を受けるバージョンはESGの9.4.0.030未満の全バージョンだ。9.4.0.030以降は「unaffected」とCVE公式記録（出典：cve.org）に明記されている。

Barracudaの告知によれば、修正は最新ファームウェアへのアップグレードによって提供される。ESGおよび関連製品向けパッチの識別名は以下のとおりだ（出典：Barracuda Networks セキュリティ告知 — trust.barracuda.com）。

CVE-2026-116606 / CVE-2026-111560 対応パッチ一覧

製品	対象CVE	パッチ識別名	適用条件
ESG	CVE-2026-116606 / CVE-2026-111560	BNSF-40425	9.4.017以降
ESG	CVE-2026-116606 / CVE-2026-111560	BNSF-40430	9.4.017未満
ADC / WAF	CVE-2026-111560	BNADC-16586	—
BMA	CVE-2026-111560	BNMA-32468	—
WCC	CVE-2026-111560	BNWF-60060	—
WSG	CVE-2026-111560	BNYF-24789	—

自動パッチが適用されていない環境では手動でパッチを適用する必要がある。自動パッチ適用を無効にしている場合は有効化することも推奨されている（出典：trust.barracuda.com）。

Barracuda ESG脆弱性CVE-2026-116606——今やること3点

Barracudaの告知（出典：Barracuda Networks セキュリティ告知 — trust.barracuda.com）は以下を明示している。

1. ESGを9.4.0.030未満で運用している場合は最新ファームウェアへアップグレードする。現在のバージョンに応じてBNSF-40425（9.4.017以降）またはBNSF-40430（9.4.017未満）が示されている。
2. 管理インターフェースへのアクセスを制限する。Barracudaは、管理インターフェースをインターネットに公開していない組織はこの攻撃経路への露出が少ないとし、管理インターフェースへのアクセスを信頼できる内部ネットワークに制限し、適切なネットワークアクセス制御を使うことを推奨している。
3. ESGと同一環境でADC、BMA、WCC、WAF、WSGを運用している場合はCVE-2026-111560の対応も並行して行う。両脆弱性は組み合わせて悪用された場合にルート権限取得につながる可能性があるとBarracudaは指摘している。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

---

参考文献

• CVE-2026-116606 公式記録 — https://www.cve.org/CVERecord?id=CVE-2026-116606
• NVD — CVE-2026-116606 — https://nvd.nist.gov/vuln/detail/CVE-2026-116606
• Barracuda Networks セキュリティ告知（Pre-Authentication Authorization Bypass and Command Injection）— https://trust.barracuda.com/security/pre-authentication-authorization-bypass-command-injection
• Mandiant Vulnerability Disclosures MNDT-2026-0042 — https://github.com/mandiant/Vulnerability-Disclosures/blob/master/2026/MNDT-2026-0042.md