Barracuda ESG ข้ามล็อกอินแก้ค่าระบบ CVE-2026-116606

พอดีไล่ฟีด CISA KEV เจอช่องโหว่ CVE-2026-116606 ใน Barracuda Email Security Gateway หรือ ESG ซึ่งเป็นอุปกรณ์ดูแลความปลอดภัยอีเมล ผมอยากให้ผู้ดูแลตรวจเรื่องนี้เป็นงานเร่งด่วน เพราะมีการนำช่องโหว่ไปโจมตีจริงแล้ว ผู้โจมตีไม่จำเป็นต้องมีบัญชี แต่ต้องเข้าถึงหน้าจัดการ Admin UI ของอุปกรณ์ได้ก่อน ข้อมูล CVE และ ประกาศ Barracuda อธิบายเงื่อนไขนี้ไว้ชัดเจน

ใครต้องทำอะไร

• ผู้ดูแลระบบ: หากใช้งาน Barracuda ESG รุ่นที่ได้รับผลกระทบ ให้ติดตั้งเฟิร์มแวร์และแพตช์ที่เกี่ยวข้องทันที พร้อมจำกัดหน้าจัดการให้เข้าถึงได้เฉพาะเครือข่ายภายในที่เชื่อถือได้

เกิดอะไรขึ้น

ปัญหาคือคนนอกเรียกฟังก์ชันนำเข้าการตั้งค่าได้โดยไม่ต้องล็อกอิน ผู้โจมตีอาจส่งไฟล์สำรองที่สร้างมาเป็นพิเศษและเข้ากันได้กับอุปกรณ์ แล้วสั่งกู้คืนไฟล์นั้น ผลคือการตั้งค่าส่วนกลางของ ESG ถูกเปลี่ยนโดยไม่ได้รับอนุญาต ฟังก์ชันที่ควรให้ผู้ดูแลใช้กู้คืนระบบเลยถูกคนนอกเรียกใช้ได้ ตามรายละเอียดจาก Mandiant MNDT-2026-0042

ใน ระเบียน CVE คะแนน CVSS 4.0 อยู่ที่ 9.3 ระดับ Critical ขณะที่ Barracuda ใช้คำว่า High ในประกาศของตน

ช่องโหว่นี้ยังใช้ต่อกับ CVE-2026-111560 ซึ่งเป็น command injection เพื่อไปถึงสิทธิ์ root ได้ตามประกาศผู้ผลิต ส่วนผลโดยตรงของ CVE-2026-116606 คือการเปลี่ยนค่ากำหนดโดยไม่ได้รับอนุญาต

CISA เพิ่มรายการนี้เข้า KEV วันที่ 10 พฤศจิกายน 2026 และกำหนดแก้ไข 13 พฤศจิกายน 2026 โดยมีช่องระบุว่าต้องทำ forensic triage หรือตรวจคัดกรองหลักฐานการบุกรุกด้วย ดูรายการได้จาก แค็ตตาล็อก KEV ที่ CISA เผยแพร่

ใครโดนและรุ่นที่แก้

CVE ระบุว่า ESG รุ่นก่อน 9.4.0.030 มีปัญหา ส่วน Barracuda แยกแพตช์ตามเฟิร์มแวร์ดังตาราง เลขรุ่นเขียนตามแต่ละแหล่ง

ให้ตรวจทั้งเฟิร์มแวร์และแพตช์ที่ติดตั้ง ผู้ผลิตแนะนำให้ใช้เฟิร์มแวร์ล่าสุดและลงแพตช์ให้ครบ เลขรุ่นอย่างเดียวบอกไม่ได้ว่าลงแพตช์ครบหรือยัง ถ้าไม่แน่ใจว่าต้องใช้แพตช์ใด ให้ Barracuda Support ช่วยตรวจตาม ตารางแพตช์และคำแนะนำผู้ผลิต

ต้องทำอะไร

เข้าหน้าจัดการผ่านเครือข่ายที่เชื่อถือได้ ตรวจเฟิร์มแวร์และติดตั้งแพตช์ที่ยังขาดตามคำแนะนำ Barracuda ถ้าแพตช์ยังไม่ลงอัตโนมัติ ให้ติดตั้งเองโดยเร็ว ผู้ผลิตแนะนำให้เปิดรับแพตช์อัตโนมัติด้วย เครื่องที่เก่าหลายรุ่นอาจต้องอัปเดตมากกว่าหนึ่งครั้ง ให้ตรวจขั้นตอนกับฝ่ายสนับสนุนก่อนลงมือ

หากอุปกรณ์เคยเปิดหน้าจัดการสู่อินเทอร์เน็ต ควรให้ทีมรับมือเหตุบุกรุกตรวจหลักฐานและการตั้งค่าที่ผิดปกติด้วย การลงแพตช์ปิดช่องโหว่ได้ แต่ยังต้องตรวจว่าอุปกรณ์เคยถูกเปลี่ยนค่าหรือไม่ KEV ระบุให้ทำ forensic triage สำหรับรายการนี้

ส่วนตัวผมให้เรื่องนี้อยู่ในคิวแพตช์ทันที โดยเริ่มจาก ESG ที่หน้าจัดการเข้าถึงจากอินเทอร์เน็ตได้ ที่มา: CVE-2026-116606 และ ประกาศความปลอดภัย Barracuda หากมีรายละเอียดเพิ่มเติมจากผู้ผลิต เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ