Barracuda หลายผลิตภัณฑ์แทรกคำสั่ง root ได้ CVE-2026-111560
ผู้ดูแลอุปกรณ์ Barracuda ที่ได้รับผลกระทบควรตรวจสอบและติดตั้งแพตช์ทันที เพราะมีการโจมตีจริงแล้ว
1-minute summary
- Symptom / problem
- ช่องตั้งค่าเขตเวลาเปิดทางให้ผู้โจมตีที่มีสิทธิ์ผู้ดูแลแทรกคำสั่งระบบและรันด้วยสิทธิ์ root
- Who should read
- ผู้ดูแลระบบที่ใช้ Barracuda ESG, ADC, BMA, WCC, WAF หรือ WSG
- Fix in short
- อัปเดตเฟิร์มแวร์ล่าสุดและตรวจว่าได้รับแพตช์ตรงผลิตภัณฑ์แล้ว พร้อมจำกัดการเข้าถึงหน้าจัดการ
พอดีไล่ฟีด CISA KEV เจอ CVE-2026-111560 ของ Barracuda หลายผลิตภัณฑ์ ตั้งแต่เกตเวย์อีเมลไปจนถึงอุปกรณ์ป้องกันเว็บ ช่องโหว่นี้ถูกใช้โจมตีจริงแล้ว โดย CISA เพิ่มเข้ารายการเมื่อ 10 พฤศจิกายน 2026 และกำหนดวันแก้ไขเป็น 13 พฤศจิกายน 2026 ตามรายการ KEV ของ CISA
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ถ้าใช้อุปกรณ์ Barracuda ในรายการด้านล่าง ให้ตรวจแพตช์และอัปเดตทันที พร้อมจำกัดคนที่เข้าหน้าจัดการได้
เกิดอะไรขึ้น
ปัญหาอยู่ที่ช่องตั้งค่าเขตเวลา หรือ timezone ซึ่งใช้โค้ดร่วมกันในหลายผลิตภัณฑ์ ระบบกรองอักขระพิเศษของ shell ไม่ครบ ผู้โจมตีที่ล็อกอินด้วยสิทธิ์ผู้ดูแลเลยแฝงคำสั่งระบบไว้ในค่านี้ได้ เมื่ออุปกรณ์ประมวลผลค่า timezone คำสั่งจะทำงานด้วยสิทธิ์ root ซึ่งเป็นสิทธิ์สูงสุดของเครื่อง ระเบียน CVE ให้คะแนน CVSS 4.0 ที่ 8.6 ระดับ High ตามข้อมูล CVE จากผู้รายงาน
สำหรับ ESG ผู้โจมตีอาจใช้ CVE-2026-116606 ข้ามการล็อกอิน แล้วใช้ช่องโหว่นี้รันคำสั่งด้วยสิทธิ์ root ได้ แต่ต้องเข้าถึงหน้าจัดการก่อน ตามคำอธิบาย CISA KEV
ใครโดนและรุ่นที่แก้
รุ่นที่มีปัญหาอ้างอิงจากประกาศ Mandiant MNDT-2026-0041 ส่วนรหัสแพตช์มาจากตารางแก้ไขของ Barracuda ซึ่งไม่ได้ระบุเลขเฟิร์มแวร์ที่แก้ของทุกผลิตภัณฑ์
| ผลิตภัณฑ์ | รุ่นที่ได้รับผลกระทบ | แพตช์ที่ผู้ผลิตระบุ |
|---|---|---|
| Email Security Gateway (ESG) | 9.4.0.27 และเก่ากว่า | BNSF-40425 สำหรับ 9.4.017 ขึ้นไป; BNSF-40430 สำหรับรุ่นต่ำกว่า 9.4.017 |
| Load Balancer Application Delivery Controller (ADC) | 6.4.0 และเก่ากว่า | BNADC-16586 |
| Message Archiver (BMA) | 5.5.4.0 และเก่ากว่า | BNMA-32468 |
| WAF Control Center (WCC) | 2.2.1 และเก่ากว่า | BNWF-60060 |
| Web Application Firewall (WAF) | 11.0.1 และเก่ากว่า | BNADC-16586 |
| Web Security Gateway (WSG) | 16.1.100.100 และเก่ากว่า | BNYF-24789 |
เลข 9.4.017 ใช้เลือกแพตช์ ESG ตามตารางผู้ผลิต ให้ตรวจว่าได้รับแพตช์แล้วด้วย อย่าใช้เลขนี้ตัดสินว่าเครื่องแก้ช่องโหว่แล้ว
ต้องทำอะไร
เปิดหน้าจัดการแล้วตรวจรุ่นเฟิร์มแวร์กับแพตช์ให้ตรงตาราง อัปเดตเป็นเฟิร์มแวร์ล่าสุดและลงแพตช์ความปลอดภัยให้ครบ ถ้าแพตช์ยังไม่ลงอัตโนมัติ ให้ติดตั้งเองตามคู่มือ Barracuda Campus ที่ลิงก์อยู่ในประกาศ ผู้ผลิตแนะนำให้เปิดรับแพตช์อัตโนมัติ เครื่องที่เก่าหลายรุ่นอาจต้องอัปเดตมากกว่าหนึ่งครั้ง หากตรวจสถานะไม่ได้ให้ติดต่อ Barracuda Support ตามคำแนะนำการอัปเดต
Barracuda แนะนำให้เข้าถึงหน้าจัดการได้จากเครือข่ายภายในที่เชื่อถือได้ และใช้การควบคุมการเข้าถึงเครือข่ายเพื่อลดการเปิดรับการโจมตี
กำหนด 13 พฤศจิกายน 2026 เป็นเส้นตายของ CISA สำหรับหน่วยงานรัฐบาลกลางสหรัฐฯ ที่อยู่ภายใต้ข้อกำหนดนี้ KEV ยังระบุให้ทำ forensic triage หรือตรวจหลักฐานการบุกรุกตาม BOD 26-04 พร้อมแก้ตามคำแนะนำผู้ผลิต หากไม่มีวิธีแก้ให้หยุดใช้ผลิตภัณฑ์ ผู้ดูแลทั่วไปควรเร่งแก้ตามความเสี่ยง โดยเฉพาะอุปกรณ์ที่เปิดหน้าจัดการสู่อินเทอร์เน็ต ตามรายละเอียด KEV
ส่วนตัวผมให้เรื่องนี้เป็นงานแพตช์เร่งด่วน เพราะมีการโจมตีจริงและเส้นทางโจมตีไปถึง root ได้ ที่มา: CVE-2026-111560 และ CISA KEV ฉบับ 10 พฤศจิกายน 2026 เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first