Barracuda 脆弱性 CVE-2026-116606：ESGの認証前の設定復元からrootまでの連鎖とパッチ・管理画面の確認手順

Barracudaのメールセキュリティ機器Email Security Gateway（ESG）で、ログインせずに機器の設定を丸ごと書き換えられる欠陥CVE-2026-116606が見つかり、2026年11月10日に米CISAの悪用確認済み脆弱性カタログ（KEV）へ追加されました。同時に公表されたCVE-2026-111560はESGを含む6製品にまたがるOSコマンドインジェクションで、2つをつなぐと機器のroot権限まで届きます。この記事では、欠陥の仕組み、製品ごとの影響版とパッチ番号、管理画面がインターネットから見えているかを外から確かめるコマンド、管理元を絞る設定、侵害を疑うときの確認順を整理します。記述の基準は、11月11日時点で公開されている情報です。

まとめ：ESGはパッチ適用と管理画面の非公開化を同時に終え、露出していた機器は侵害を前提に調べる

恒久対策はパッチの適用です。ESGはファームウェアの版に応じてBNSF-40425かBNSF-40430、ほかの5製品にもそれぞれのパッチが出ています。自動パッチを止めている機器は、手で当てる必要があります。

パッチと同じ日に、管理画面へ届く経路を社内の管理端末だけに絞ってください。欠陥の前提は「攻撃者が管理画面に届くこと」なので、ここを閉じることが、この攻撃経路からの侵入を防ぐ対策です。管理画面をインターネットに出していた機器は、すでに設定を書き換えられた可能性を残して調べます。自社だけで公開範囲や設定を確かめきれない場合は、脆弱性診断・セキュリティ診断で外部からの確認を受け付けています。

CVE-2026-116606とCVE-2026-111560のroot権限取得の連鎖

Barracudaの公式アドバイザリは、2件を組み合わせると認可の制御を迂回して機器のroot権限を得られると説明しています。1件目が管理者の席を奪い、2件目がその席からOSを乗っ取る、という分担です。

認証なしで設定インポートを呼び細工したバックアップを戻すCWE-288

採番機関Mandiantの開示文書MNDT-2026-0042によると、ESGの9.4.0.030より前の版では、認証されていない攻撃者が設定インポートの機能を呼び出せます。細工した互換性のあるバックアップを復元させ、機器全体の設定を書き換えるという手口です。

分類はCWE-288（別経路による認証回避）です。ログイン画面を破るのではなく、ログインを通らない裏の経路が開いていた、という種類の欠陥になります。公告は書き換えられる設定項目を列挙していません。ただ、復元されるのが機器全体の設定である以上、管理者の認証情報や接続を許す範囲も攻撃者の手に渡ると考えるのが自然です。権限の確認をサーバー側で組む考え方は、認可バイパスの仕組みとサーバ側で止める実装対策で整理しています。

タイムゾーン欄のシェル文字をrootで実行するCWE-78のOSコマンド注入

MNDT-2026-0041によると、Barracudaの複数製品が共有するコードで、タイムゾーンの設定欄に入れたシェルのメタ文字が無害化されていません。細工した値が後で処理されるときに、OSのコマンドがroot権限で動きます。分類はCWE-78です。

単独なら管理者でなければ使えない欠陥です。ところが1件目で管理者の席が取れるなら、その条件を満たした状態です。ESGの管理画面の解説には、タイムゾーンを変えると機器が自動で再起動すると書かれています。入力値をシェルへ渡す実装がなぜ危ないかは、OSコマンドインジェクションの仕組みと引数配列で防ぐ実装で扱っています。

11月5日に認証不要へ訂正された要件とCVSS 9.3でも深刻度Highの表記

公開当初、CVE-2026-116606の「Authentication Required」欄は「管理者のアクセスが必要」でした。11月5日の更新で「不要（管理画面への到達は必要）」に訂正されています。速報の中には訂正前の記述のまま「管理者権限が要る」と書いたものが残っているので、読み比べるときは注意してください。

点数の表記にもずれがあります。NVDの登録ではCVSS 4.0の基本値9.3で「CRITICAL」ですが、Barracudaの公告の深刻度欄は2件とも「High」です。判断にはベクトルのPR:N（権限不要）とAV:N（ネットワーク経由）を使い、公告の「High」の語感で後回しにしないことです。

影響する6製品とパッチ番号、11月2日公開からKEV期限11月13日までの日付

CVE-2026-116606の対象はESGだけです。CVE-2026-111560は共通コードの欠陥なので、ESGを含む6製品に広がっています。

6製品の影響版とパッチ番号を突き合わせる対応表と版表記の違い

表中のESGはEmail Security Gateway（ESG）の略記です。ESGのパッチは、BNSF-40425が9.4.017以上、BNSF-40430が9.4.017未満に対応します。ESGの版は資料によって書式が違います。Mandiantは「9.4.0.030未満」「9.4.0.27以下」と書き、Barracudaのパッチの区分は「9.4.017以上／未満」です。版番号の文字列を比べて「うちは対象外」と判断するのは危うい。パッチ番号が当たっているかどうかで判定してください。

11月9日の悪用追記と11月10日のKEV追加で是正期限が3日になった経緯

公告は11月2日に出ました。この時点では悪用は確認されていません。11月9日の更新で「少数の組織で悪用を確認した」と追記され、翌10日にCISAのKEVが2件を同時に追加しています。米国連邦機関向けの是正期限は11月13日で、侵害の有無を調べる手順（Forensics Triage）も求められています。ランサムウェアでの利用は「不明」の扱いです。

追加から期限まで3日しかありません。期限の決まり方は、CISAのBOD 26-04と、それを解説したBOD 26-04の是正期限の仕組みにまとめています。

管理画面の露出とファームウェアの状態を外と内から確かめるコマンドと画面

確かめるのは2点です。管理画面が社外から見えているか、パッチが当たっているかです。どちらも読み取りだけで、メールの配送は止めません。

社外の回線からnmapとcurlで管理ポートへの到達可否を調べる手順

ESGの安全な構成の解説は、社内からの管理画面に非標準のポート8000を使うよう勧めています。そこで、社内網ではなく社外の回線から、公開IPアドレスの管理ポートに届くかを確かめます。

# 社外の回線（モバイル回線やクラウドの検証用VMなど）で実行する
TARGET=203.0.113.10   # ESG・WAFなどの公開IPアドレスに置き換える

# 管理画面に使っているポートが開いているか（8000は既定の管理ポート）
nmap -Pn -p 80,443,8000 --open "$TARGET"

# 開いていたポートで画面が応答するか。000なら到達できていない
for url in "http://$TARGET:8000/" "https://$TARGET/"; do
  code=$(curl -sk -o /dev/null -m 5 -w '%{http_code}' "$url")
  echo "$url -> $code"
done

200や302が返り、Barracudaのログイン画面が出たら、その機器は今回の攻撃の前提を満たしています。443番はメール利用者の隔離メールボックスにも使われるため、閉じてよいかは用途を確かめてから決めます。自社でポート番号を変えている場合は、その番号を加えてください。他社の機器に向けて実行するのは不正アクセスと受け取られかねないので、対象は自社の資産に限ります。

ADVANCED > Firmware Updateでの版確認と自動パッチの設定

ESGのファームウェア更新の手順では、ADVANCED > Firmware Updateの画面で新しい一般リリースの有無を見て、「Download Now」「Apply Now」の順に進めます。適用後は自動で再起動し、再び表示されるのはログイン画面です。更新中に電源を切ると機器を壊すおそれがあると明記されています。

公告は、版が何世代も古い機器では更新を複数回に分ける必要があると注意しています。自動パッチを止めていた場合は、有効に戻すよう勧めています。版やパッチの適用状況を自分で確かめきれないときは、公告が案内するとおりBarracudaのサポートに確認を依頼するのが確実です。

KEVとNVDのJSONから自社が持つBarracuda製品の掲載を抜き出すjq

KEVとNVDはJSONで取得できます。Barracudaの掲載だけを抜き出すと、過去の事例と並べて優先度を判断できます。

# KEVに載っているBarracuda製品の脆弱性を一覧にする
curl -s https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json \
  | jq -r '.vulnerabilities[]
      | select(.vendorProject == "Barracuda Networks")
      | [.cveID, .dateAdded, .dueDate, .product] | @tsv'

# NVDの分析状況とKEVの期限を確かめる
curl -s "https://services.nvd.nist.gov/rest/json/cves/2.0?cveId=CVE-2026-116606" \
  | jq -r '.vulnerabilities[0].cve | [.id, .vulnStatus, .cisaActionDue] | @tsv'

11月10日版のKEVでは結果が3行になります。今回の2件と、2023年5月26日に追加されたCVE-2023-2868です。NVDの状況は11月10日時点で「Undergoing Analysis」で、NVD独自の評価はまだ付いていません。CVE-2026-111560も同じ書き方で確かめられます（NVDの登録）。

管理画面・API・SNMPの接続元を社内網に絞り、外部からの経路を閉じる設定

公告は、管理画面をインターネットに公開していない組織はこの攻撃経路にさらされにくいとして、信頼できる社内網からのアクセスに限るよう勧めています。ESGでは、そのための設定が管理画面の中にあります。

Administrator/IP Rangeで管理画面の接続元を1拠点に限る設定

Securingの文書によると、BASIC > Administrationの「Administrator/IP Range」に、管理画面へ入ってよい端末のIPアドレスとネットマスクを登録できます。この欄が空のままだと、正しいパスワードを知っていればどこからでも入れる状態です。

登録するのは、情シスの管理端末がある拠点のアドレスか、VPNの出口のアドレスです。在宅の担当者のために広い範囲を許すと、絞った意味が薄れます。社外から管理するときはVPNを経由させ、許可の範囲は1拠点に寄せてください。手前のファイアウォールやWAFでも管理ポートを閉じておくと、機器側の設定を書き換えられても二重に止まります。WAFの位置付けはWAFの仕組みとファイアウォールとの違いで整理しています。

API・SNMPの許可IP範囲とAPIパスワードで管理画面以外の入口を塞ぐ

ESGには設定を遠隔で変えられるAPIがあり、画面で保存できる項目の多くをAPIからも変えられます。Securingの文書は、同じ画面の「Allowed SNMP and API IP/Range」で接続元を絞り、APIのパスワードを設定するよう求めています。

今回の欠陥が管理画面の裏の経路だったことを考えると、画面の入口だけ閉じてAPIを開けたままにする構成は避けるべきです。監視システムなど、APIやSNMPを使う相手のアドレスだけを登録します。使っていなければ、空欄で全開放のまま残さないでください。

判断：パッチ適用で終えてよい機器と侵害調査・交換の相談まで進める機器

パッチ適用で終えてよいのは、管理画面に社内網やVPNの内側からしか届かなかった機器です。前の章のコマンドで社外から管理画面が見えていた機器は、パッチと並行して侵害の確認を行います。

管理画面を公開していたESGを侵害前提で扱う理由と2023年の前例

CVE-2026-116606はログインを要さず、届きさえすれば機器全体の設定を書き換えられます。KEVへの追加は実際の攻撃を意味します。公開していたESGについて「書き換えられていない」と言える根拠は、調べるまでありません。

ESGには前例もあります。2023年のCVE-2023-2868では、Barracudaの公告が侵害された機器の交換を勧め、交換用の機器を無償で提供しました。同年12月にはCVE-2023-7102を使った攻撃が続き、IPAも注意喚起を出しています。今回の公告は交換に触れていません。ただ、root権限を取られた機器はパッチを当てても潜伏の跡が残りうる、というのが2023年の教訓です。調べて不審な点が見つかったら、交換の要否をBarracudaのサポートに相談してください。

逆に、見送ってよい対策もあります。手前の機器で細工したバックアップだけを検知して止める方式は、細工の内容が公開されていないため設計できません。そこに時間を使うより、管理ポートを閉じるほうが確実です。

設定差分・タイムゾーン値・連携アカウントの確認から認証情報の入れ替えまで

1. 手元に残っている設定のバックアップと現在の設定を見比べ、管理者アカウント、Administrator/IP Range、配送先のメールサーバーが変わっていないか確かめる
2. BASIC > Administrationのタイムゾーンが、選択肢にある普通の値のままか見る
3. ADVANCED > TroubleshootingのMonitor Web Syslogで、ログインと設定変更の記録に見覚えのない操作や予定外の再起動が無いか調べる
4. 管理者のパスワードとAPIのパスワード、ESGに登録したLDAPやメールサーバーのサービスアカウントの認証情報を入れ替える
5. メールの持ち出しや転送先の改ざんが疑われる場合は、報告義務の該当性を判断する

2と3は本記事の見立てによる手がかりで、公告が示した痕跡ではありません。公告は11月11日時点で侵害の痕跡（IoC）を公開していないため、何も見つからないことを安全の根拠にはできません。4は痕跡が無くても実施します。メールに個人データが含まれていれば個人情報保護委員会への報告義務を、暗号化や脅迫文が見つかった場合はランサムウェアの初動対応の手順を確認してください。

よくある質問

Barracudaの脆弱性CVE-2026-116606とCVE-2026-111560について、運用の現場で迷いやすい点に答えます。

自動パッチを有効にしていれば何もしなくてよいですか？

パッチ自体は自動で当たっている可能性が高いものの、確認は必要です。公告は、版が何世代も古い機器では複数回の更新が要る場合があるとしています。また、パッチが当たる前に管理画面が社外から見えていたなら、その期間に設定を書き換えられた可能性は消えません。適用状況の確認と、管理画面の公開範囲の見直しまでは行ってください。

管理画面を社内に限定していれば更新を急がなくてよいですか？

急ぐ度合いは下がりますが、見送る理由にはなりません。公告も「さらされにくい」という表現にとどめています。社内の端末がマルウェアに感染すれば、そこから管理画面に届きます。CVE-2026-111560はESG以外の5製品にも及ぶため、社内向けのWAFやロードバランサーも含めて、通常の更新枠の中で早めに当ててください。

KEVの是正期限11月13日は日本の企業にも適用されますか？

KEVの是正期限は、BOD 26-04にもとづき米国の連邦政府機関に課されるものです。日本の民間企業に法的な拘束力はありません。ただし、KEVへの追加は実際の攻撃が確認されたことを示しています。インターネットから管理画面に届く機器を持っているなら、同じ11月13日を目安に対応を終えるのが妥当です。

Barracudaのクラウド型メールサービスを使っている場合も対象ですか？

今回の公告が対象として挙げているのは、ESGやWAFなどの機器の製品名です。クラウド型サービスについての記載はありません。まず、社内のどこかにESGなどの物理機器や仮想機器が残っていないかを資産台帳で確かめてください。移行後も古い機器が電源を入れたまま置かれている例はよくあり、更新が止まっている分だけ危険です。

悪用されたかどうかをログで判定できますか？

11月11日時点で、Barracudaは今回の痕跡となるログの文字列を公開していません。手がかりは、見覚えのない管理者、許可IPの範囲の変更、予定外の再起動、タイムゾーンの異常な値といった結果の側です。KEVが侵害の調査を求めている以上、ログで何も見つからないことを「侵害なし」の根拠にはせず、認証情報の入れ替えまで進めてください。

関連記事

• API不正アクセス対策の実装手順：JPCERT注意喚起に沿うレート制限・認可・トークン失効とアプリ解析・SSRF対策：外部から届く要求を認可で絞る設計の基本をまとめています。
• パッチ管理とは：KEVで優先度を決め、Patch Managerとapt・dnfで自動適用する手順：KEV掲載を起点に更新の順番を決める運用の作り方です。
• DMARCとは？SPF・DKIMとの違い、仕組みとレコードの書き方【RFC 9989対応】：メールの防御を機器以外の層でも組むときの基礎です。