ԱՄՆ կիբեռանվտանգության և ենթակառուցվածքների անվտանգության գործակալությունը հրամանների ներարկման և նույնականացումը շրջանցելու խոցելիությունները ներառել է իր ցանկում այն բանից հետո, երբ Barracuda-ն հայտնել է, որ դրանց շահագործումն առնչվել է փոքր թվով կազմակերպությունների։ Ադմինիստրատորները կարող են տեղադրել ընկերության ուղղումներն ու սահմանափակել խոցելի սարքերի հասանելիությունը։
2026 թ․ նոյեմբերի 10-ին ԱՄՆ կիբեռանվտանգության և ենթակառուցվածքների անվտանգության գործակալությունն ակտիվ շահագործման ապացույցների հիման վրա Barracuda-ի երկու խոցելիություն ներառել է հայտնի շահագործված խոցելիությունների իր ցանկում։ CVE-2026-111560-ը թույլ է տալիս ներարկել օպերացիոն համակարգի հրամաններ, իսկ CVE-2026-116606-ը՝ շրջանցել նույնականացումը Barracuda Email Security Gateway-ում։
Barracuda-ն խոցելիությունները բացահայտել և ուղղումները թողարկել է 2026 թ․ նոյեմբերի 2-ին։ Այդ պահին ընկերությունը դրանց ակտիվ շահագործման մասին չէր հայտնել։ Նոյեմբերի 9-ին թարմացված հաղորդագրությունում ընկերությունը հայտնել է, որ այդ ընթացքում հայտնաբերել է շահագործման դեպքեր, որոնք առնչվել են փոքր թվով կազմակերպությունների։
Հրամանների ներարկման խոցելիությունը շահագործելու համար անհրաժեշտ է նույնականացմամբ հաստատված ադմինիստրատիվ հասանելիություն։ Mandiant-ի խոսքով՝ այն ադմինիստրատորին թույլ է տալիս ներարկել օպերացիոն համակարգի հրամաններ, որոնք կատարվում են գերօգտատիրոջ (root) արտոնություններով՝ սարքի նկատմամբ հասանելիության բարձրագույն մակարդակով։ Նույնականացումը շրջանցելու խոցելիությունը մուտք գործելու պահանջ չունի, սակայն, Barracuda-ի խոսքով, հարձակվողին պետք է հասանելի լինի անցախուցի ադմինիստրատիվ միջերեսը։ Mandiant-ի խոսքով՝ այդ շրջանցումը կարող է թույլ տալ առանց թույլտվության փոփոխել սարքի ընդհանուր կարգավորումները։
Barracuda-ի խոսքով՝ հարձակվողը կարող է համատեղ շահագործել խոցելիությունները՝ շրջանցելու հասանելիության սահմանափակումներն ու գերօգտատիրոջ հասանելիություն ստանալու համար։ 2026 թ․ նոյեմբերի 5-ին ընկերությունն ուղղել է իր նախորդ ծանուցումը՝ նշելով, որ շրջանցման համար ադմինիստրատորի նույնականացում չի պահանջվում, թեև ադմինիստրատիվ միջերեսի հասանելիությունը շարունակում է անհրաժեշտ լինել։
Հարձակվողների ինքնությունը և այն, թե արդյոք նրանք ստացել են գերօգտատիրոջ հասանելիություն, մնում են անհայտ։ Այս տեղեկությունը հրապարակել է The Register-ը։ Barracuda-ն լրատվամիջոցին չի հայտնել տուժած կազմակերպությունների ճշգրիտ թիվը և նշել է, որ անմիջականորեն աշխատել է տուժած ընկերությունների հետ։
CISA-ն նոյեմբերի հայտարարել է, որ Cisco BroadWorks-ի և Openwave Webtop Media Transcoder-ի խոցելիությունները ներառել է իր ցանկում՝ նշելով, որ երկուսի ակտիվ շահագործման ապացույցներ ունի։
Mandiant-ը հրամանների ներարկման խոցելիություն ունեցող Barracuda-ի արտադրանքների և տարբերակների թվում նշում է ստորև թվարկվածները։ Barracuda-ն երկու խոցելիությունների վտանգավորությունն էլ գնահատում է բարձր․ CVE-2026-111560-ի CVSS գնահատականը 8,6 է, իսկ CVE-2026-116606-ինը՝ 9,3։
| Արտադրանք | Խոցելի տարբերակներ |
|---|---|
| Email Security Gateway | 9.4.0.27 և ավելի վաղ տարբերակները |
| Load Balancer Application Delivery Controller | 6.4.0 և ավելի վաղ տարբերակները |
| Web Application Firewall | 11.0.1 և ավելի վաղ տարբերակները |
| Web Security Gateway | 16.1.100.100 և ավելի վաղ տարբերակները |
| Message Archiver | 5.5.4.0 և ավելի վաղ տարբերակները |
| WAF Control Center | 2.2.1 և ավելի վաղ տարբերակները |
Նույնականացումը շրջանցելու խոցելիությունն ունեցող տարբերակների թվում Mandiant-ը նշում է Email Security Gateway-ի՝ 9.4.0.030-ից ավելի վաղ տարբերակները։
Barracuda-ն հաճախորդներին խորհուրդ է տալիս ստուգել, որ խոցելի համակարգերում տեղադրված լինեն ներկառուցված ծրագրաշարի՝ սարքերի աշխատանքն ապահովող ծրագրերի վերջին տարբերակն ու անվտանգության բոլոր ուղղումները։ Եթե ուղղումն ինքնաշխատ չի տեղադրվել, հաճախորդները պետք է այն հնարավորինս շուտ տեղադրեն ձեռքով։ Ընկերությունը նաև խորհուրդ է տալիս միացնել ուղղումների ինքնաշխատ տեղադրումն այն սարքերում, որտեղ այն անջատված է։ Եթե սարքի ներկառուցված ծրագրաշարը մի քանի տարբերակով հնացած է, կարող է մեկից ավելի թարմացում պահանջվել։
Ընկերությունը խորհուրդ է տալիս ադմինիստրատիվ միջերեսները հասանելի դարձնել միայն վստահելի ներքին ցանցերից և կիրառել ցանցային հասանելիության վերահսկման միջոցներ։ Նրա խոսքով՝ այն կազմակերպությունները, որոնց ադմինիստրատիվ միջերեսները համացանցից հանրամատչելի չեն, այս եղանակով հարձակման ավելի քիչ են ենթակա։ Barracuda-ն թարմացման հրահանգներ է տրամադրում Barracuda Campus-ի միջոցով և աջակցում այն հաճախորդներին, որոնք ներկառուցված ծրագրաշարը ստուգելու կամ ուղղումները տեղադրելու հարցում օգնության կարիք ունեն։
ԱՄՆ կիբեռանվտանգության և ենթակառուցվածքների անվտանգության գործակալության խոսքով՝ դաշնային հրահանգը գործադիր իշխանության քաղաքացիական մարմիններից պահանջում է առաջնահերթ և արագ վերացնել ցանկում ընդգրկված բարձր ռիսկի խոցելիությունները հանրային հասանելի համակարգերում, եթե դրանց շահագործումը հարձակվողներին կարող է լիակատար վերահսկողություն տալ։ Հրահանգը նաև սահմանում է, թե մարմիններից ինչ ստուգումներ են ակնկալվում՝ պարզելու համար՝ արդյոք համակարգերը կոտրվել էին մինչև ուղղումների տեղադրումը։ Այն վերաբերում է միայն այդ մարմիններին, սակայն գործակալությունը բոլոր կազմակերպություններին հորդորում է ցանկում ընդգրկված խոցելիությունների վերացման առաջնահերթությունը որոշել՝ ելնելով ռիսկից։
2 րոպե
Գործակալությունը Microsoft Outlook-ի խոցելիությունը նկարագրում է որպես հնարավոր վտանգավոր գործողության դեպքում օգտատիրոջ մասնակցության բացակայություն։ Microsoft-ը շտկել է այն բանից հետո, երբ հարձակվողներն օգտագործել են խոցելիությունը՝ հաշիվների նույնականացման տվյալները գողանալու համար։
1 րոպե
Ճապոնական մանրածախ վաճառողը հայտնել է, որ նոյեմբերի 6-ին արգելափակել է չարտոնված մուտքը և ազդակիր հաճախորդների հետ կապ կհաստատի էլեկտրոնային կամ սովորական փոստով։
2 րոպե
