Сначала о терминологии, потому что она сбивает. CVE-2026-116606 Barracuda называет «pre-authentication authorization bypass», но в карточке уязвимости стоит «Authentication Required: Yes, administrative access». То есть дыра не даёт войти с улицы: атакующему уже нужен доступ к административному интерфейсу — например, украденная сессия или слабый пароль. Зато дальше он обходит проверку прав.
Вторая, CVE-2026-111560, — инъекция команд с CVSS 8.6. Она затрагивает шесть продуктов: Email Security Gateway, Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall и Web Security Gateway. В ESG обе уязвимости есть одновременно, и в комбинации они позволяют получить root на устройстве.
Кого это касается
Тех, у кого админ-панель Barracuda смотрит в интернет. Сама компания пишет прямо: организации, у которых административные интерфейсы не доступны извне, подвержены меньше. Это не значит, что можно не патчить, — просто риск ниже.
Активной эксплуатации Barracuda не заявляет. Но история продукта располагает к осторожности: в 2023 году группировку UNC4841 связывали с эксплуатацией дыр в Email Security Gateway, в том числе против госструктур США. Тогда речь шла о шпионаже, а не о массовом шифровании.
Что делать
Патчи: BNSF-40425 для ESG 9.4.017 и новее, BNSF-40430 для версий младше, BNADC-16586 для ADC и WAF, BNMA-32468 для Message Archiver, BNWF-60060 для WAF Control Center, BNYF-24789 для WSG. Если прошивка отстала на несколько версий, обновление может понадобиться не одно.
И второе, не менее важное: закрыть админ-интерфейсы от интернета. Патч закрывает конкретную дыру, ограничение доступа — целый класс атак.
A note on wording first, because it is confusing. Barracuda calls CVE-2026-116606 a “pre-authentication authorization bypass”, yet the advisory says “Authentication Required: Yes, administrative access”. So the flaw does not let someone in from the street: the attacker already needs access to the administrative interface — a stolen session, a weak password. What they get is a way past the authorisation check.
The second, CVE-2026-111560, is a command injection rated CVSS 8.6. It affects six products: Email Security Gateway, Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall and Web Security Gateway. ESG carries both, and combined they can yield root on the device.
Who is affected
Anyone whose Barracuda admin panel faces the internet. The company says it plainly: organisations whose administrative interfaces are not publicly reachable are less exposed. That does not mean you can skip patching — just that the risk is lower.
Barracuda reports no active exploitation. The product’s history argues for caution anyway: in 2023 the UNC4841 group was linked to exploitation of Email Security Gateway flaws, including against US government agencies. That was espionage, not mass encryption.
What to do
The patches: BNSF-40425 for ESG 9.4.017 and later, BNSF-40430 for older versions, BNADC-16586 for ADC and WAF, BNMA-32468 for Message Archiver, BNWF-60060 for WAF Control Center, BNYF-24789 for WSG. If firmware is several versions behind, more than one update may be required.
The second half matters as much: take admin interfaces off the internet. A patch closes one hole; access restriction closes a class of attacks.