CVE-2026-111560

SANS Stormcast Tuesday, November 3rd, 2026: Multipath TCP (MPTCP) Detection; BTCPay Server 2.4.1 Hot Wallet Thefts; Barracuda ESG Flaws (CVE-2026-116606, CVE-2026-111560); Synology DSM Ransomware https://isc.sans.edu/podcastdetail/10162 https://t.co/peVzNtTmoa

Got a Barracuda Email Security Gateway with its admin page online? A stranger can skip the login, load their own config and get root on the box. That's CVE-2026-116606 plus CVE-2026-111560. Update the firmware and close port 8000 to the outside. https://hol.org/blog/cve-2026-116606-barracuda-email-security-gateway-auth-bypass-root https://t.co/VCOunsJO8A

Barracuda Networks has released security fixes for two vulnerabilities, CVE-2026-116606 and CVE-2026-111560, that could allow attackers to gain root access. https://ift.tt/ybrGLcM

【11/2 本日のまとめ】CVE・脆弱性ニュースまとめ ■国内 2日（日本時間）は、国内ベンダー製品やJVN・IPA・JPCERT/CCの注意喚起で、新たに対象となるものはありませんでした（JVNで公表されたCore Tempの件は注意点に記載）。 ■海外 ① BeyondTrust「Remote Support（リモートサポート製品）」：悪用確認済みの認証不要のファイル書き込みに、攻撃ツール（Metasploit）のモジュールが公開（CVE-2026-102764、CVSS v4.0 9.3、CISA KEV登録済み） 企業のヘルプデスクなどが使うリモートサポート製品で、内部の通信の送り主を正しく確かめていなかったため、ログインしていない攻撃者がアプライアンス上でファイル操作をできてしまう脆弱性です。2日、セキュリティ企業Rapid7が技術解説と攻撃ツールMetasploitのモジュールを公開し、任意のファイルを書き込んでサイトのOSユーザー権限でコードを実行できることを確認したと説明しています。この脆弱性は10月15日の公表前から悪用されており、米CISAは10月16日にKEVへ追加しています。影響は26.2.3以前で、自社運用版は24.3.1〜26.2.3向けのパッチ「BT26-05-RS」の適用が必要です（それより古い版は先に更新が必要、SaaS版は10月9日に適用済み）。手口が公開され攻撃のハードルが下がったため、未適用ならすぐに適用し、公開ディレクトリに見覚えのないPHPファイルがないかやログの確認もおすすめします。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-102764 出典：BeyondTrust https://www.beyondtrust.com/trust-center/security-advisories/bt26-05 出典：CISA KEV https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-102764 出典：Rapid7 https://www.rapid7.com/blog/post/ra-rapid7-analysis-unauthenticated-file-upload-to-rce-in-beyondtrust-remote-support-cve-2026-102764/ ② Barracuda「Email Security Gateway（メールセキュリティ製品）」：認証を回避して細工した設定バックアップを復元され、機器の設定を書き換えられうる脆弱性（CVE-2026-116606、CVSS v4.0 9.3） 企業のメールの入口に置かれるBarracuda Email Security Gateway（ESG）で、本来は管理者だけが使える設定の取り込み機能を、認証を経ずに呼び出せてしまう脆弱性です。日本時間2日夜にhttp://cve.orgへ登録され、発見したMandiantの記録では、ログインしていない攻撃者がネットワーク越しに細工したバックアップを復元し、機器全体の設定を書き換えられるおそれがあるとしています。Barracudaは同時に、ESGのほかWAFやWeb Security Gatewayなど6製品に影響するコマンドインジェクション（CVE-2026-111560、CVSS 8.6）も公表し、2件を組み合わせるとroot権限を奪われうると説明しています。攻撃には管理画面にアクセスできることが前提で、影響は9.4.0.030より前、修正パッチ（ESGはBNSF-40425／BNSF-40430）が提供されています。現時点で悪用の報告は確認できていませんが、ESGは過去に大規模な悪用があった製品のため、パッチの適用状況の確認と管理画面をインターネットに公開しない設定をおすすめします。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-116606 出典：Barracuda https://trust.barracuda.com/security/pre-authentication-authorization-bypass-command-injection 出典：Mandiant https://github.com/mandiant/Vulnerability-Disclosures/blob/master/2026/MNDT-2026-0042.md ③ MediaTek「スマートフォン等向けチップセット」：11月のセキュリティ情報で、偽の基地局経由で悪用されうるモデムの脆弱性など56件（Critical 6件：CVE-2026-20499、CVE-2026-20545〜20549） MediaTekが日本時間2日に11月のセキュリティ情報を公開し、計56件のCVEが登録されました。最も深刻な6件はモデム部分のメモリ書き込みの不具合で、攻撃者が用意した偽の基地局に端末が接続すると、利用者の操作なしに権限を奪われるおそれがあります。対象はMT67xx／MT68xx／MT69xx系など、国内でも販売されているAndroidスマートフォンやタブレットに広く使われているチップです。MediaTekは端末メーカーへ2か月以上前に修正を提供済みで、現時点で悪用は確認していないとしています。修正は各端末メーカーのアップデートで配信されるため、Androidのセキュリティアップデートを適用してください。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-20545 出典：MediaTek https://corp.mediatek.com/product-security-bulletin/November-2026 ④ WSO2「API Manager ほか」：管理用REST APIのアクセス制御の不備で、本来は管理者だけの操作を実行されうる脆弱性（CVE-2025-11969、CVSS v3.1 9.4） APIの公開・管理基盤として企業で使われるWSO2 API Managerなどで、システム用のREST APIがアクセス制御を正しく行っておらず、本来は管理者だけに許された操作を実行されてしまう脆弱性です。日本時間2日午後にhttp://cve.orgへ登録され、説明文では「権限の低いロールの利用者」が管理者向けの操作を実行できるとされる一方、CVSSの評価（9.4、Critical）は認証不要（PR:N）でネットワーク越しに攻撃できるとしています。API Manager 3.1.0〜4.5.0の各系統のほか、Identity Server（Key Manager構成）5.10.0、Open Banking AM／IAM 2.0.0、API Control Plane・Universal Gateway・Traffic Manager 4.5.0が対象で、系統ごとに修正済みのアップデート（例：4.5.0は4.5.0.32以降）が示されています。API Gatewayを通して公開しているAPIそのものは影響を受けないとされ、現時点で悪用の報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2025-11969 出典：WSO2 https://security.docs.wso2.com/en/latest/security-announcements/security-advisories/2026/WSO2-2025-4733/ ⑤ Red Hat「FreeIPA／IdM（Red Hat Enterprise Linux）」：認証なしで管理者グループのアカウントを作られうる脆弱性、RHEL 7 ELSまで修正がそろう（CVE-2026-76578、CVSS v3.1 9.8） Linuxのユーザー・認証の一元管理に使われるFreeIPA（RHELではIdM）で、ワンタイムパスワード用トークンの書き込み権限の設定（ACI）が認証を求めていなかったため、LDAPに接続できる攻撃者がログインなしで任意のアカウントを作り、管理者グループに加えられてしまう脆弱性です。9月7日に公表されたもので、2日にhttp://cve.orgの記録が更新され、10月30日公開のRHEL 7 延長サポート（ELS）向けを含め、RHEL 7〜10の各版向けの修正パッケージが記載されました。Red Hatは「Critical」と評価し、初期設定のままで再現を確認しているとして、信頼できないネットワークにLDAPを公開している環境はすぐに危険があるとしています。CISA KEVには登録されておらず、実際の悪用の報告も確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-76578 出典：Red Hat https://access.redhat.com/security/cve/CVE-2026-76578 ⑥ PrefectHQ「Prefab UI（Python向け生成UIライブラリ）」：サンドボックスを抜け出し、サーバー上のファイルを読み書き・コード実行されうる脆弱性（CVE-2026-120338、CVSS v3.1 10.0） Prefab UIには、AIなどが書いたPythonコードをPyodideで隔離して動かす「Generative UI」機能がありますが、実行環境（Deno）を権限を制限せずに起動していたため、隔離が実質的に効いていない状態でした。コードを渡せる相手であれば、サーバーのOSユーザーの権限でファイルを読み書きでき、細工したファイルを置いてコード実行を居座らせることもできるおそれがあります。特にFastMCPのGenerativeUI機能で公開したMCPサーバーに認証をかけていない場合は、サーバーに届く誰でもこのツールを呼び出せます。影響は0.14.0〜0.20.2で、0.21.0で修正されています。現時点で悪用の報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120338 出典：PrefectHQ（GitHub） https://github.com/PrefectHQ/prefab/security/advisories/GHSA-595q-jv4r-q7j9 ⑦ Liquid Web / StellarWP「BookIt（WordPress予約プラグイン）」：ログイン不要のSQLインジェクション（CVE-2026-62048、CVSS v3.1 9.3） 予約・スケジュール管理用のWordPressプラグインBookItで、送られた値を正しく処理せずにデータベースへの命令（SQL）に組み込んでしまう脆弱性です。登録元のPatchstackによると、ログインしていない攻撃者でもネットワーク越しに攻撃でき、データベースの情報を盗み出されるおそれがあります。影響は2.6.0.6以前で、2.6.0.7で修正されています。現時点で悪用の報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-62048 出典：Patchstack https://patchstack.com/database/wordpress/plugin/bookit/vulnerability/wordpress-bookit-plugin-2-6-0-6-sql-injection-vulnerability ⑧ Fastify「@fastify/http-proxy（Node.js向けプロキシプラグイン）」：転送先のパス制限を抜けられ、SSRFなどにつながりうる脆弱性（CVE-2026-120213、CVSS v3.1 9.1） Node.jsのWebフレームワークFastify用のプロキシプラグインで、パラメーター付きのprefixとrewritePrefixを組み合わせて転送先のパスを固定している場合に、URLデコードした値を再エンコードせずに埋め込んでいた問題です。日本時間2日夜にhttp://cve.orgへ登録され、ログインしていない攻撃者が想定外の転送先パスに到達でき、転送先によってはサーバー側リクエスト偽造（SSRF）や認可の回避につながるおそれがあります。影響は9.0.0〜11.6.5で、11.6.6で修正されており、更新以外の回避策はないとされています。現時点で悪用の報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120213 出典：Fastify（GitHub） https://github.com/fastify/fastify-http-proxy/security/advisories/GHSA-h3vp-4jfr-v364 ⑨ Horizon DataSys「Reboot Restore Standard（PC復元ソフト）」：カーネルドライバのメモリ破壊で、PCの最高権限を奪われうる脆弱性（CVE-2026-120232、CVSS v4.0 9.3／v3.1 8.8、実証コード公開済み） 再起動するとPCを決まった状態に戻すWindows向けソフトReboot Restore Standardで、カーネルドライバ（shield.sys）の処理にメモリ破壊の脆弱性があります。登録元のVulDBによると、攻撃にはそのPCにログインできる権限が必要ですが、成功するとシステム全体に影響する操作ができるおそれがあります。影響は13.0〜13.2で、攻撃の実証コード（PoC）が公開されています。修正は次のリリースで予定されているとされ、現時点で修正版や実際の攻撃に使われたという報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120232 出典：VulDB https://vuldb.com/vuln/429591 ⑩ Termix「Termix（ブラウザで使うSSH・サーバー管理ツール）」：ファイル転送機能で任意の場所にファイルを書き込める脆弱性（CVE-2026-120322、CVSS v3.1 9.9、実証コード公開済み） 自分で設置して使うWebベースのSSH・サーバー管理ツールTermixで、ファイルマネージャーの転送機能（transferToHost）が保存先のパスを正しく確かめず、想定外の場所にファイルを書き込めてしまう脆弱性です。登録元のVulDBによると、ログインできる利用者がネットワーク越しに悪用でき、攻撃の実証コード（PoC）も公開されています。影響は2.9.0〜2.9.2で、問題の処理はファイルマネージャープラグインv1.0.0とTermix本体v26.10.0で取り除かれています。現時点で実際の攻撃に使われたという報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120322 出典：VulDB https://vuldb.com/vuln/429654 ⑪ Linksys「Wi-Fiルーター E8450」：管理画面の処理でバッファーがあふれ、乗っ取られうる脆弱性（CVE-2026-120283、CVSS v3.1 10.0） Linksysの無線LANルーターE8450（ファームウェア1.2.00.360516）で、管理用プログラム（portal.cgi）がタイムゾーン設定の値を長さを確かめずにコピーしてしまい、メモリ（スタック）があふれる脆弱性です。登録元のVulDBによると、ネットワーク越しにログインなしで攻撃できるとされています。VulDBは事前にLinksysへ連絡したものの応答がなかったとしており、修正版は確認できていません。実際の攻撃に使われたという報告も確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120283 出典：VulDB https://vuldb.com/vuln/429627 ⑫（続報）WAVLINK「無線LANルーター WN553X1-B／WN701AE／WN536AX6-A／WN551X3-A」：OSコマンドインジェクションなどが1日で計14件追加（CVE-2026-120229〜120231、120238〜120240、120276〜120277、120279〜120282、120344〜120345、CVSS v3.1 9.1〜10.0、実証コード公開済み） 1日から取り上げているWAVLINK製ルーターの脆弱性について、1日深夜から2日にかけて4機種で計14件が登録されました。OpenVPNやWireGuardの設定処理、パスワード確認処理、接続拒否リストやDNS関連の処理などで、受け取った値がそのままOSのコマンドに渡ったり、バッファーがあふれたりする問題です。登録元のVulDBによると、WN536AX6-Aの6件のうち5件とWN551X3-Aの2件はログインなしでネットワーク越しに攻撃でき、残る7件（WN553X1-Bの5件、WN701AEの1件、WN536AX6-Aの1件）はログインできる立場（うち1件は管理者権限）が前提です。いずれも攻撃の実証コード（PoC）が公開されていますが、修正版や実際の攻撃に使われたという報告は確認できていません。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120229 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120276 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120344 出典：VulDB https://vuldb.com/vuln/429620 ■注意点 ・米CISAのKEVは2日夜の時点でも、10月30日のIvanti Connect Secure 2件以降の追加がありません。Ivanti Connect Secure（CVE-2026-111357）の米連邦機関向け対応期限は11月2日（米国時間）です。 ・Android 11月のセキュリティ情報は、2日夜の時点でまだ公開されていません。MediaTek（③）の修正も各端末メーカーのアップデートで配信されるため、公開され次第確認をおすすめします。 ・2日はほかに、JavaのWebフレームワークApache Wicketで18件（最大CVSS 8.3）、JVNでWindows向けCPU温度監視ソフト「Core Temp」のカーネルドライバの脆弱性（CVE-2026-109836、CVSS v4.0 8.4、v1.21より前が対象）が公表されています。WAVLINK（⑫）、Linksys（⑪）、Reboot Restore（⑨）は修正版が未確認のため、管理画面を外部に公開しないなどの対策をおすすめします。 #脆弱性 #CVE #サイバーセキュリティ

🔓 CVE-2026-116606 lets an attacker invoke a configuration import on a Barracuda Email Security Gateway and restore a crafted backup, changing the appliance's global configuration. Versions before 9.4.0.030. The CVE record (Mandiant as CNA) says "unauthenticated remote attacker", Privileges Required None, CVSS 4.0 9.3 Critical. Barracuda's own advisory, same day: "Authentication Required: Yes, administrative access". Same 9.3, labelled High. 🔗 Barracuda also names CVE-2026-111560, a root command injection in the timezone field for an administrator. Together, it says, they could give root. How one reaches the other is not stated. ❌ Not stated: any exploitation (neither CVE is in CISA's catalogue of 30 Oct), how many appliances are exposed, what "compatible" archive means, when the fix shipped. 🛡️ Until the pages agree, plan around the harsher reading. 🔗 https://www.pk-sharma.com/briefing/barracuda-esg-cve-2026-116606-cve-record-says-unauthenticated-barracuda-says-admin-access-fixed-9-4-0-030 #Barracuda #EmailSecurity #CVE #ESG #PatchManagement #VulnerabilityManagement #Mandiant #AuthenticationBypass #ThreatIntelligence #NetworkSecurity #Appliance #CyberSecurity #InfoSec #CISA

Barracuda's advisory for a 9.3 unauthenticated bypass in its Email Security Gateway is the one page its own advisory index doesn't list. No exploitation reported. https://severitydaily.com/barracuda-esg-cve-2026-116606-9-3-pr-n-mandiant-advisory-admin-interface-prerequisite-not-on-index-cve-2026-111560-no-cpe/

Patch two Barracuda vulnerabilities, CVE-2026-116606 and CVE-2026-111560, that allow attackers to gain Barracuda root access across multiple appliances. #Barracuda #EmailSecurity #CVE2026116606 #CVE2026111560 #Cybersecurity #Vulnerability #InfoSec https://securityonline.info/barracuda-vulnerabilities-root-access-patch/

#NØØT_Security_Alerts 🚨 #ALERT — Barracuda ESG Authentication Bypass and Command Injection Could Enable Root Compromise November 2, 2026 PRODUCT: Barracuda Email Security Gateway (ESG). CVEs: CVE-2026-116606 (authentication bypass; CVSS 4.0: 9.3) and CVE-2026-111560 (OS command injection; 8.6). Scores from Mandiant’s CNA records; Barracuda labels both HIGH. AFFECTED: Mandiant identifies ESG versions below 9.4.0.030 for the bypass and through 9.4.0.27 for command injection. These are distinct affected ranges. IMPACT: CVE-2026-116606 permits an unauthenticated attacker to import a crafted, compatible configuration backup and modify global settings. CVE-2026-111560 permits an authenticated administrator to inject commands through timezone configuration, executing as root when processed. Barracuda warns that combining the flaws could yield root access. This is a potential attack chain, NOT a confirmed real-world compromise. PREREQUISITES: The administrative interface must be reachable. Barracuda’s advisory table says authentication is required even for CVE-2026-116606, whereas Mandiant’s CNA explicitly describes unauthenticated exploitation. Interface reachability and successful administrator authentication must not be conflated. EXPLOITATION STATUS: Vulnerabilities publicly disclosed. The opened vendor and CNA advisories do not establish malicious exploitation in the wild. TRIAGE: Inventory exposed management interfaces and deployed firmware/hotfix state. Review available configuration-import activity, unexpected timezone changes, administrator sessions, configuration differences and suspicious process execution. No unique attack IoCs were published; logging gaps limit exclusion of compromise. URGENT ACTION: Restrict administrative interfaces to trusted networks immediately. Preserve relevant evidence before disruptive changes if compromise is suspected. Apply Barracuda’s appropriate ESG hotfix: BNSF-40425 for 9.4.017+ or BNSF-40430 for earlier versions, or deploy the latest applicable fixed firmware. Verify actual running firmware AND patch status; older devices may require sequential upgrades. Validate configuration integrity and investigate unauthorized access or persistence before restoring trust. Patching does not reverse prior compromise. SOURCE — VENDOR: https://trust.barracuda.com/security/pre-authentication-authorization-bypass-command-injection SOURCE — MANDIANT CNA: https://github.com/mandiant/Vulnerability-Disclosures/blob/master/2026/MNDT-2026-0042.md https://github.com/mandiant/Vulnerability-Disclosures/blob/master/2026/MNDT-2026-0041.md CONFIDENCE: HIGH for documented vulnerability mechanics, affected ESG ranges and vendor remediation. LIMITED for actual chain exploitation or victim compromise; authentication wording differs between vendor and CNA. #CyberSecurity #AppSec #CVE #IncidentResponse

Barracuda ESG below 9.4.0.030: chained bugs can give root access CVE-2026-116606 (CVSS 4.0 9.3, CNA Mandiant) is an auth bypass. Chained with command injection CVE-2026-111560, Barracuda says it can give root. Needs access to the admin interface. Patch: BNSF-40425 / BNSF-40430. Exploitation not stated; not in KEV. https://trust.barracuda.com/security/pre-authentication-authorization-bypass-command-injection