--- title: "Barracuda Email Security Gateway の認証回避 CVE-2026-116606（CVSS v4.0 9.3）: 認証なしで設定のインポートを呼び出し、全体設定を書き換えられる。9.4.0.030 で修正" url: https://n-t-p.io/worldsecurity/articles/barracuda-esg-auth-bypass-config-import-before-9-4-0-030-cve-2026-116606 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月2日 updated: 2026年11月2日 severity: 緊急 cve: CVE-2026-116606 --- # Barracuda Email Security Gateway の認証回避 CVE-2026-116606（CVSS v4.0 9.3）: 認証なしで設定のインポートを呼び出し、全体設定を書き換えられる。9.4.0.030 で修正 > **TL;DR:** Barracuda Email Security Gateway 9.4.0.030 未満の CVE-2026-116606（CVSS v4.0 9.3）。認証なしの攻撃者が設定インポート機能を呼び出し、細工したバックアップを復元して機器の全体設定を書き換えられるとされる。KEV なし、EPSS は未算出。9.4.0.030 で修正。 **要点** - Barracuda Email Security Gateway 9.4.0.030 未満に、設定インポート機能を認証なしで呼び出せる認証回避 CVE-2026-116606 がある（CVSS v4.0 9.3、CWE-288） - ネットワーク経由・複雑さ低・権限不要・操作不要。細工した互換のバックアップアーカイブを復元させ、機器の全体設定を不正に書き換えられるとされる - KEV 掲載なし、EPSS は公開直後で未算出。実際の悪用は未確認。NVD 自身の評価は未実施（CVSS は CNA の値） - 9.4.0.030 以降が対象外。公式な回避策は確認できていない。ベンダー勧告のページは取得時に 404 で未確認 - 対策は、バージョン確認と更新、外部からの到達制限、設定変更の確認、認証情報の見直し（一部は推定） NVD は 2026-11-02 に、Barracuda Networks の Email Security Gateway（ESG）に関する認証回避（CVE-2026-116606）を登録しました。9.4.0.030 より前の版で、認証されていないリモートの攻撃者が設定のインポート機能を呼び出し、細工した互換のバックアップアーカイブを復元することで、機器の全体設定（グローバル設定）を不正に書き換えられるとされています。 ## 何が起きるか - **CVE-2026-116606（認証回避、CWE-288）**: 代替の経路・チャネルを使った認証回避です。認証なしで設定インポート機能に到達できるとされています。 - 攻撃者が細工した互換のバックアップアーカイブを復元させると、機器の全体設定が不正に変更されます。 - 攻撃条件は、ネットワーク経由（AV:N）、複雑さは低い（AC:L）、権限不要（PR:N）、利用者の操作不要（UI:N）です。 - CVSS v4.0 は 9.3（CRITICAL）で、機密性・完全性・可用性の影響がいずれも High とされています。 - 開示元の文書では、悪用のしやすさ（Exploitability）は High と記載されています。 - 攻撃の具体的な手順は、本記事では扱いません。 ## 修正の状況 - 影響を受けるのは **9.4.0.030 より前** の版で、9.4.0.030 以降が対象外とされています。 - 開示元の文書によると、2026-10-22 にベンダーから報告があり、2026-11-02 に CVE の公開と勧告の公開がありました。 - 公式な回避策は確認できていません。 ## 数値と出典（2026-11-02 時点） | CVE | 種類 | 認証 | CVSS v4.0 | CWE | EPSS | |---|---|---|---|---|---| | CVE-2026-116606 | 設定インポート機能を認証なしで呼び出せる認証回避 | 不要 | 9.3 | CWE-288 | 公開直後で未算出（FIRST は該当データなし） | - NVD の状態は Received（NVD 自身の評価は未実施）で、CVSS は CNA（Mandiant）が付けた値です。CVSS v3.1 は付いていません。 - KEV（CISA の悪用確認済みカタログ）には掲載がありません。実際の攻撃での悪用は確認していません。 ## severity を critical とした理由 認証が不要で、ネットワーク経由で複雑さが低く、利用者の操作も要らず、CVSS v4.0 は 9.3 です。過去の判断の基準（認証不要かつ CVSS 9.0 以上は critical）に合わせて critical としています。一方で、KEV への掲載はなく、悪用は確認されていません。 ## 対応として考えられること 1. Barracuda Email Security Gateway を運用している場合、ファームウェアのバージョンを確認します。 2. 9.4.0.030 より前であれば、ベンダーの案内に従って 9.4.0.030 以降へ更新します。 3. 更新までの間、管理インターフェースや機器本体への外部（インターネット側）からの到達を制限します（推定）。 4. 設定が意図しないものに変わっていないか、直近の設定変更の履歴やバックアップとの差分を確認します（推定）。 5. 不審な変更が見つかった場合は、管理者の資格情報や連携先の認証情報の見直しを検討します（推定）。 ## 未確認の点 - 実際の攻撃での悪用は確認していません。 - ベンダーの勧告ページ（NVD の参照先）は、取得時に 404 で本文を確認できていません。更新手順や回避策の有無は未確認です。 - 設定インポート機能が、どの構成で外部から到達できるかは確認できていません。 - 復元された設定の変更によって、さらに何が可能になるか（コマンド実行など）は確認できていません。 - NVD 自身の評価は未実施で、CVSS は CNA の値です。 ## 出典 - [NVD CVE-2026-116606](https://nvd.nist.gov/vuln/detail/CVE-2026-116606) — NIST NVD - [MNDT-2026-0042（Barracuda Email Security Gateway の認証回避）](https://github.com/mandiant/Vulnerability-Disclosures/blob/master/2026/MNDT-2026-0042.md) — Mandiant - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-116606) — FIRST - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/barracuda-esg-auth-bypass-config-import-before-9-4-0-030-cve-2026-116606