--- title: "Barracuda 製品の CVE-2026-111560（CVSS v4.0 8.6）: タイムゾーン設定欄への OS コマンド注入で、管理者権限から root でコマンドを実行できる。ESG・ADC・WAF・WSG・BMA・WCC が対象" url: https://n-t-p.io/worldsecurity/articles/barracuda-appliances-timezone-field-os-command-injection-root-cve-2026-111560 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月3日 updated: 2026年11月3日 severity: 高 cve: CVE-2026-111560 --- # Barracuda 製品の CVE-2026-111560（CVSS v4.0 8.6）: タイムゾーン設定欄への OS コマンド注入で、管理者権限から root でコマンドを実行できる。ESG・ADC・WAF・WSG・BMA・WCC が対象 > **TL;DR:** Barracuda の ESG・ADC・WAF・WSG・BMA・WCC で、タイムゾーン設定欄のシェルのメタ文字が無害化されておらず、管理者が細工した値を設定すると root 権限で OS コマンドが実行される（CVE-2026-111560）。Mandiant の CVSS v4.0 は 8.6（PR:H）。パッチは公開済み。KEV なし、EPSS は未算定。 **要点** - タイムゾーン設定欄経由の OS コマンドインジェクション（CWE-78）。細工した値が処理されたとき root 権限で実行される - 管理者として認証済みであることが前提（PR:H）。Mandiant の CVSS v4.0 は 8.6 で high - ESG・ADC・WAF・WSG・BMA・WCC が対象。Barracuda がパッチを公開済み。管理画面を内部ネットワークに限定する - 悪用の実態、v3.1 の評価、NVD の分析は未確認。KEV なし、EPSS は未算定 Barracuda の複数のアプライアンス製品に、OS コマンドインジェクションの問題 CVE-2026-111560 が公開されました。NVD は 2026-11-02 に登録し、状態は Awaiting Analysis です。タイムゾーン設定欄のシェルのメタ文字が無害化されておらず、管理者として認証済みの攻撃者が細工した値を設定すると、その値が後で処理されたときに root 権限でコマンドが実行されるとされています。評価は Mandiant（Google）が付与した CVSS v4.0 の 8.6（HIGH）で、必要な権限は High（管理者）です。Barracuda は修正パッチを公開済みです。 ## 概要 | 項目 | 内容 | |---|---| | CVE | CVE-2026-111560 | | 製品 | Barracuda Email Security Gateway（ESG）、Load Balancer ADC、Web Application Firewall（WAF）、Web Security Gateway（WSG）、Message Archiver（BMA）、WAF Control Center（WCC） | | 問題 | タイムゾーン設定欄のシェルのメタ文字の無害化が不十分（CWE-78、OS コマンドインジェクション） | | 攻撃条件 | ネットワーク経由（AV:N）、難易度は低い（AC:L）、管理者権限が必要（PR:H）、ユーザー操作は不要 | | 結果 | 細工した値が後で処理されたときに、root 権限で OS コマンドが実行される。機密性・完全性・可用性が High | - 認証なしでは成り立たず、管理画面への到達と管理者としての認証が前提です。Mandiant は悪用のしやすさ（Exploitability）を Medium としています。 - Barracuda の勧告は、同時に公開された認証回避 CVE-2026-116606 と組み合わせた場合に、認可の制御を回避して機器の root 権限を得られる可能性があると説明しています（CVE-2026-116606 は ESG のみが対象）。 ## CVSS | 評価元 | 種別 | 版 | スコア | ベクター | |---|---|---|---|---| | Mandiant（Google） | 副（Secondary） | v4.0 | 8.6（HIGH） | AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N | v3.1 の評価は確認できた範囲では示されていません。管理者権限が前提で、認証なしの攻撃ではないため、本サイトでは high としています。 ## 影響範囲 Mandiant の記載では、次の版以前が対象です。 | 製品 | 対象 | |---|---| | Email Security Gateway（ESG） | 9.4.0.27 以下 | | Load Balancer ADC | 6.4.0 以下 | | Web Application Firewall（WAF） | 11.0.1 以下 | | Web Security Gateway（WSG） | 16.1.100.100 以下 | | Message Archiver（BMA） | 5.5.4.0 以下 | | WAF Control Center（WCC） | 2.2.1 以下 | - 管理画面を、インターネットや広い社内ネットワークに公開している機器が、影響を受けうる立場にあります。 ## 修正 Barracuda の勧告によると、次のパッチが公開されています。 | 製品 | パッチ | |---|---| | ESG | BNSF-40425（9.4.017 以降）、BNSF-40430（9.4.017 未満） | | Load Balancer ADC | BNADC-16586 | | WAF | BNADC-16586 | | WSG | BNYF-24789 | | BMA | BNMA-32468 | | WCC | BNWF-60060 | - 自動パッチを有効にしている機器は自動で適用されるとされています。無効にしている場合は手動で適用してください。 - 機器の版が複数版古い場合は、更新を複数回行う必要があるとされています。 ## 当面の対策 - 管理画面を、インターネットに公開せず、信頼できる内部ネットワークだけに限定する（Barracuda の推奨）。 - アクセス制御（IP 制限・VPN 経由など）で、管理画面への到達元を絞る。 - 管理者アカウントの認証情報を見直し、不要な管理者を整理する。 - 設定のタイムゾーン欄に、通常ない文字列が入っていないか点検する。 ## 数値と出典（2026-11-03 時点） | 項目 | 内容 | |---|---| | NVD の状態 | Awaiting Analysis | | CVSS | v4.0 8.6（HIGH、Mandiant） | | EPSS | 未算定（FIRST、2026-11-03 時点） | | KEV | 掲載なし（CISA のカタログを確認） | | 出典 | NVD、Mandiant（Google）、Barracuda、FIRST、CISA | ## 未確認の点 - 実際の攻撃での悪用の有無（KEV 掲載なし、EPSS は未算定）。 - CVSS v3.1 の評価、および NVD による独自の分析。 - 対象版の下限（Mandiant は「以下」とだけ記載）。 - 管理画面を限定する対策の実効性は、利用環境ごとの検証が必要。 ## 出典 - [NVD CVE-2026-111560](https://nvd.nist.gov/vuln/detail/CVE-2026-111560) — NIST NVD - [Mandiant アドバイザリー MNDT-2026-0041](https://github.com/mandiant/Vulnerability-Disclosures/blob/master/2026/MNDT-2026-0041.md) — Mandiant（Google） - [Barracuda セキュリティ勧告](https://trust.barracuda.com/security/pre-authentication-authorization-bypass-command-injection) — Barracuda Networks - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-111560) — FIRST - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/barracuda-appliances-timezone-field-os-command-injection-root-cve-2026-111560