Lỗ hổng Barracuda có thể bị kết hợp để vượt qua kiểm soát truy cập và chiếm quyền root

Barracuda đã công bố chi tiết hai lỗ hổng ảnh hưởng đến sản phẩm của hãng. Nếu bị khai thác kết hợp, kẻ tấn công có thể vượt qua các biện pháp kiểm soát truy cập và chiếm quyền root trên thiết bị dễ bị tổn thương.

Hai lỗ hổng gồm một lỗi vượt qua kiểm soát truy cập trước xác thực và một lỗi chèn lệnh. Chúng được gán mã CVE-2026-116606 (điểm CVSS 9.3) và CVE-2026-111560 (điểm CVSS 8.6).

Phạm vi ảnh hưởng

• CVE-2026-116606 chỉ ảnh hưởng đến Email Security Gateway
• CVE-2026-111560 ảnh hưởng đến Email Security Gateway
• Load Balancer Application Delivery Controller
• Message Archiver
• WAF Control Center
• Web Application Firewall
• Web Security Gateway

Barracuda cho biết khai thác thành công đòi hỏi kẻ tấn công phải có quyền truy cập vào giao diện quản trị của sản phẩm bị ảnh hưởng. Nếu bị khai thác kết hợp, các lỗ hổng này có thể cho phép kẻ tấn công vượt qua kiểm soát truy cập và giành quyền root trên thiết bị.

Khuyến nghị giảm thiểu rủi ro

Theo Barracuda, các tổ chức không mở giao diện quản trị ra internet sẽ ít có nguy cơ bị tấn công theo hướng này hơn. Hãng khuyến nghị khách hàng thực hiện các bước sau:

• Giới hạn quyền truy cập giao diện quản trị trong các mạng nội bộ đáng tin cậy
• Sử dụng các biện pháp kiểm soát truy cập mạng phù hợp để hạn chế phạm vi tiếp xúc

Barracuda cũng nhấn mạnh khách hàng dùng các sản phẩm này cần kiểm tra hệ thống đang chạy phiên bản firmware mới nhất và đã nhận đầy đủ bản vá bảo mật. Nếu firmware trên thiết bị đã lỗi thời nhiều phiên bản, khách hàng có thể cần thực hiện nhiều hơn một lần cập nhật.

Nguồn: The Hacker News