Barracuda Email Security Gateway の認証回避 CVE-2026-116606（CVSS v4.0 9.3）: 認証なしで設定のインポートを呼び出し、全体設定を書き換えられる。9.4.0.030 で修正

NVD は 2026-11-02 に、Barracuda Networks の Email Security Gateway（ESG）に関する認証回避（CVE-2026-116606）を登録しました。9.4.0.030 より前の版で、認証されていないリモートの攻撃者が設定のインポート機能を呼び出し、細工した互換のバックアップアーカイブを復元することで、機器の全体設定（グローバル設定）を不正に書き換えられるとされています。

何が起きるか

• CVE-2026-116606（認証回避、CWE-288）: 代替の経路・チャネルを使った認証回避です。認証なしで設定インポート機能に到達できるとされています。
• 攻撃者が細工した互換のバックアップアーカイブを復元させると、機器の全体設定が不正に変更されます。
• 攻撃条件は、ネットワーク経由（AV:N）、複雑さは低い（AC:L）、権限不要（PR:N）、利用者の操作不要（UI:N）です。
• CVSS v4.0 は 9.3（CRITICAL）で、機密性・完全性・可用性の影響がいずれも High とされています。
• 開示元の文書では、悪用のしやすさ（Exploitability）は High と記載されています。
• 攻撃の具体的な手順は、本記事では扱いません。

修正の状況

• 影響を受けるのは 9.4.0.030 より前 の版で、9.4.0.030 以降が対象外とされています。
• 開示元の文書によると、2026-10-22 にベンダーから報告があり、2026-11-02 に CVE の公開と勧告の公開がありました。
• 公式な回避策は確認できていません。

数値と出典（2026-11-02 時点）

CVE	種類	認証	CVSS v4.0	CWE	EPSS
CVE-2026-116606	設定インポート機能を認証なしで呼び出せる認証回避	不要	9.3	CWE-288	公開直後で未算出（FIRST は該当データなし）

• NVD の状態は Received（NVD 自身の評価は未実施）で、CVSS は CNA（Mandiant）が付けた値です。CVSS v3.1 は付いていません。
• KEV（CISA の悪用確認済みカタログ）には掲載がありません。実際の攻撃での悪用は確認していません。

severity を critical とした理由

認証が不要で、ネットワーク経由で複雑さが低く、利用者の操作も要らず、CVSS v4.0 は 9.3 です。過去の判断の基準（認証不要かつ CVSS 9.0 以上は critical）に合わせて critical としています。一方で、KEV への掲載はなく、悪用は確認されていません。

対応として考えられること

1. Barracuda Email Security Gateway を運用している場合、ファームウェアのバージョンを確認します。
2. 9.4.0.030 より前であれば、ベンダーの案内に従って 9.4.0.030 以降へ更新します。
3. 更新までの間、管理インターフェースや機器本体への外部（インターネット側）からの到達を制限します（推定）。
4. 設定が意図しないものに変わっていないか、直近の設定変更の履歴やバックアップとの差分を確認します（推定）。
5. 不審な変更が見つかった場合は、管理者の資格情報や連携先の認証情報の見直しを検討します（推定）。

未確認の点

• 実際の攻撃での悪用は確認していません。
• ベンダーの勧告ページ（NVD の参照先）は、取得時に 404 で本文を確認できていません。更新手順や回避策の有無は未確認です。
• 設定インポート機能が、どの構成で外部から到達できるかは確認できていません。
• 復元された設定の変更によって、さらに何が可能になるか（コマンド実行など）は確認できていません。
• NVD 自身の評価は未実施で、CVSS は CNA の値です。