สรุปสั้น

บริษัท Barracuda Networks ผลิตอุปกรณ์รักษาความปลอดภัยเครือข่ายที่องค์กรวางไว้ที่ขอบเครือข่าย ทั้งเกตเวย์กรองอีเมล ไฟร์วอลล์เว็บแอปพลิเคชัน และตัวกระจายโหลด อุปกรณ์กลุ่มนี้เคยเป็นเป้าการโจมตีมาก่อน เช่น กรณี Email Security Gateway ถูกกลุ่มจารกรรมใช้ zero-day เจาะเมื่อปี 2566 ล่าสุดเมื่อต้นเดือนพฤศจิกายน 2569 Barracuda เปิดเผยช่องโหว่ 2 ตัวที่ถ้าใช้ต่อกันจะทำให้ผู้โจมตีข้ามการตรวจสิทธิ์และได้สิทธิ์ root บนอุปกรณ์ ตัวแรก คือ CVE-2026-116606 (CVSS 9.3) การข้ามการตรวจสิทธิ์ก่อนยืนยันตัวตน ซึ่งกระทบเฉพาะ Email Security Gateway ตัวที่สอง คือ CVE-2026-111560 (CVSS 8.6) ช่องโหว่ command injection ที่กระทบ 6 ผลิตภัณฑ์

เงื่อนไขสำคัญ คือ ผู้โจมตีต้องเข้าถึงหน้าจัดการ (administrative interface) ของอุปกรณ์ได้ Barracuda จึงระบุว่าองค์กรที่ไม่เปิดหน้านี้สู่อินเทอร์เน็ตเสี่ยงน้อยกว่า ยังไม่มีรายงานการโจมตีจริงในตอนนี้ แต่อุปกรณ์ขอบเครือข่ายที่ได้ root แล้วเป็นจุดตั้งหลักที่ผู้โจมตีต้องการ ผู้ดูแลควรอัปเดตเฟิร์มแวร์ให้เป็นเวอร์ชันล่าสุด และจำกัดหน้าจัดการให้เข้าได้จากเครือข่ายภายในที่เชื่อถือได้เท่านั้น

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 3 พฤศจิกายน 2569 ว่า Barracuda เปิดเผยรายละเอียดช่องโหว่ทั้งสองตัวในหน้าศูนย์ความน่าเชื่อถือ (Trust Center) ของบริษัท ผลิตภัณฑ์ที่กระทบจาก CVE-2026-111560 ได้แก่ Email Security Gateway, Load Balancer Application Delivery Controller, Message Archiver, WAF Control Center, Web Application Firewall และ Web Security Gateway ส่วน CVE-2026-116606 กระทบเฉพาะ Email Security Gateway ห่วงโซ่การโจมตีเต็มรูปแบบที่ได้ root จึงเกิดได้บน Email Security Gateway ซึ่งมีช่องโหว่ทั้งสองตัว Barracuda ระบุว่าการโจมตีสำเร็จต้องเข้าถึงหน้าจัดการของผลิตภัณฑ์ที่กระทบได้ และถ้าใช้ร่วมกัน ช่องโหว่ทั้งสองจะ “ทำให้ผู้โจมตีข้ามการตรวจสิทธิ์และได้สิทธิ์ root บนอุปกรณ์”

Barracuda แนะนำให้ลูกค้าตรวจว่าระบบรันเฟิร์มแวร์เวอร์ชันล่าสุดและได้รับแพตช์ความปลอดภัยครบ และเตือนว่าถ้าเฟิร์มแวร์ล้าหลังหลายเวอร์ชัน อาจต้องอัปเดตมากกว่าหนึ่งครั้ง ข้อจำกัดของข้อมูล คือ ประกาศไม่ได้ระบุเลขเวอร์ชันที่กระทบหรือเวอร์ชันที่แก้แล้วของแต่ละผลิตภัณฑ์ ไม่ได้ระบุว่าใครเป็นผู้ค้นพบ และไม่ได้บอกว่ามีการโจมตีจริงแล้วหรือไม่

รายละเอียดช่องโหว่

CVE-2026-116606: ข้ามการตรวจสิทธิ์ก่อนยืนยันตัวตน — ช่องโหว่ใน Email Security Gateway ที่ทำให้ผู้โจมตีเรียกฟังก์ชันที่ควรต้องมีสิทธิ์ได้โดยยังไม่ต้องล็อกอิน คะแนน CVSS 9.3 สูงเพราะไม่ต้องมี credential ใดเลย แต่ยังต้องเข้าถึงหน้าจัดการทางเครือข่ายได้

CVE-2026-111560: command injection — ช่องโหว่ที่ข้อมูลจากผู้ใช้ถูกส่งต่อไปเป็นส่วนหนึ่งของคำสั่งระบบโดยไม่กรองให้ดีพอ ผู้โจมตีจึงแทรกคำสั่งของตัวเองให้ระบบรันได้ คะแนน CVSS 8.6 กระทบ 6 ผลิตภัณฑ์ เมื่อใช้ลำพังโดยไม่มี CVE-2026-116606 ช่วย ผู้โจมตีน่าจะต้องผ่านการตรวจสิทธิ์ของหน้าจัดการก่อน

ต่อกันแล้วได้ root — เมื่อใช้ CVE-2026-116606 ข้ามการตรวจสิทธิ์ ผู้โจมตีจะไปถึงฟังก์ชันที่มี CVE-2026-111560 ได้โดยไม่ต้องล็อกอิน แล้วใช้ command injection รันคำสั่งด้วยสิทธิ์ root ผล คือ ผู้โจมตีภายนอกที่เข้าถึงหน้าจัดการได้อาจยึด Email Security Gateway ได้ทั้งเครื่อง ส่วนผลิตภัณฑ์อีก 5 ตัวที่มีแค่ CVE-2026-111560 ความเสี่ยงต่ำกว่าเพราะยังต้องผ่านการตรวจสิทธิ์

ผลกระทบ

กลุ่มที่เสี่ยงที่สุด คือ องค์กรที่ใช้ Barracuda Email Security Gateway และเปิดหน้าจัดการให้เข้าถึงจากอินเทอร์เน็ต เพราะเป็นกรณีเดียวที่ห่วงโซ่เต็มรูปแบบใช้ได้โดยไม่ต้องมี credential เกตเวย์อีเมลที่ถูกยึดด้วยสิทธิ์ root ให้ผู้โจมตีเห็นและแก้อีเมลขาเข้าและขาออกขององค์กรได้ ปล่อยอีเมลอันตรายผ่านการกรอง และใช้อุปกรณ์เป็นจุดตั้งหลักเข้าสู่เครือข่ายภายใน ส่วนผู้ใช้ WAF, Load Balancer, Message Archiver และ Web Security Gateway ยังต้องแพตช์ เพราะผู้โจมตีที่ได้ credential ผู้ดูแลมาจากช่องทางอื่นก็ใช้ command injection ยกระดับเป็น root ได้

ความเร่งด่วนอยู่ในระดับสูง แม้ยังไม่มีรายงานการโจมตีจริง เพราะอุปกรณ์ขอบเครือข่ายเป็นเป้าที่ถูกเลือกบ่อย และเมื่อรายละเอียดช่องโหว่เปิดเผยแล้ว การพัฒนาช่องโหว่มักตามมาเร็ว อุปกรณ์ที่เฟิร์มแวร์ล้าหลังหลายเวอร์ชันยังต้องใช้เวลาอัปเดตนานกว่า ซึ่งยืดช่วงเวลาเสี่ยงออกไป

คำแนะนำ

  • ทำทันที: ตรวจว่าหน้าจัดการของอุปกรณ์ Barracuda ทุกตัวเข้าถึงจากอินเทอร์เน็ตได้หรือไม่ ถ้าได้ให้จำกัดให้เข้าได้เฉพาะจากเครือข่ายภายในที่เชื่อถือได้ด้วย ACL หรือไฟร์วอลล์ ตามคำแนะนำของ Barracuda
  • ทำทันที: อัปเดตเฟิร์มแวร์ของ Email Security Gateway เป็นอันดับแรก ตามด้วย WAF, Load Balancer ADC, Message Archiver, WAF Control Center และ Web Security Gateway และเผื่อเวลาสำหรับอัปเดตหลายขั้นถ้าเฟิร์มแวร์เก่ามาก
  • ตรวจว่าโดนแล้วหรือยัง: ไล่ล็อกการเข้าถึงหน้าจัดการหาคำขอจาก IP ภายนอกที่ไม่รู้จัก และหาการเปลี่ยนค่าตั้งหรือบัญชีผู้ดูแลที่ไม่ได้ทำเอง
  • ถ้าพบร่องรอย: แยกอุปกรณ์ออกจากเครือข่าย เปลี่ยนรหัสผ่านผู้ดูแลและ credential ที่อุปกรณ์ใช้เชื่อมกับระบบอื่น เช่น LDAP หรือ Active Directory และติดต่อ Barracuda เพื่อขอแนวทางตรวจสอบ
  • ระยะยาว: วางหน้าจัดการของอุปกรณ์เครือข่ายทุกยี่ห้อไว้ในเครือข่ายจัดการแยก (management network) และเปิด MFA สำหรับบัญชีผู้ดูแลเมื่ออุปกรณ์รองรับ

แหล่งอ้างอิง