Dua Celah Barracuda ESG Bisa Dirantai untuk Akses Root, CVSS 9,3 dan 8,6 Sudah Ditambal

Celah kedua dalam rantai ini sebenarnya butuh akun admin. Masalahnya, celah pertama memberi cara untuk melewati kewajiban itu.

Peneliti watchTowr Labs memublikasikan rincian rantai dua celah pada Barracuda Email Security Gateway (ESG) pada Kamis (5/11/2026), tiga hari setelah Barracuda merilis tambalannya pada Senin (2/11/2026). Menurut laporan The Hacker News pada Jumat (6/11/2026), keduanya bisa digabung sehingga penyerang mendapat eksekusi perintah sebagai root pada perangkat tanpa kredensial.

Dua CVE, dua peran berbeda

Menurut advisori Barracuda, CVE-2026-116606 adalah celah authorization bypass sebelum autentikasi dengan skor CVSS 9,3 dan hanya memengaruhi ESG. CVE-2026-111560 adalah command injection pada sistem operasi dengan skor CVSS 8,6 yang normalnya mensyaratkan akses administrator.

Celah kedua menyentuh lebih banyak produk: ESG, Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall, dan Web Security Gateway. Pada kelima produk selain ESG, syarat akses administrator tetap berlaku, sehingga rantai penuh yang diperagakan peneliti hanya berlaku di ESG.

Bagaimana rantainya bekerja

Dalam tulisan watchTowr yang ditulis Sina Kheirkhah, perubahan kata sandi yang gagal pada ESG ternyata tidak menghentikan permintaan, melainkan mengembalikan peran login berprivilege rendah. Dari posisi itu penyerang dapat mengakses penangan unggahan cadangan yang menjalankan proses pemulihan.

Berkas cadangan diperiksa dengan checksum yang memakai rahasia tertanam di dalam kode, sehingga penyerang dapat memalsukannya. Salah satu nilai konfigurasi yang dipulihkan, yakni zona waktu sistem, diteruskan ke perintah shell tanpa disaring dan dijalankan lewat skrip dengan hak root. Sebagai bukti konsep, watchTowr menulis sebuah berkas ke direktori /tmp sebagai root.

Persyaratan akses antarmuka admin

Barracuda memperbarui advisorinya pada Kamis (5/11/2026) pukul 14.30 waktu Timur AS. Kolom autentikasi untuk CVE-2026-116606 diubah dari "Yes, administrative access" menjadi "No (Administrative UI Access Required)". Artinya penyerang tidak memerlukan akun, tetapi antarmuka admin perangkat harus bisa dijangkau.

Advisori menyatakan eksploitasi berhasil bila penyerang punya akses ke antarmuka administratif produk terdampak. Karena itu pengamanan paling cepat selain menambal adalah membatasi antarmuka tersebut hanya untuk jaringan internal tepercaya. Organisasi yang membiarkan antarmuka admin ESG terjangkau dari internet adalah pihak yang paling perlu segera memeriksa versi firmware dan aturan akses jaringannya.

Status eksploitasi dan angka versi

The Hacker News menulis bahwa hingga pekan ini kedua celah belum masuk katalog Known Exploited Vulnerabilities (KEV) milik lembaga keamanan siber AS CISA, dan tidak ada laporan publik yang mengaitkannya dengan serangan. Advisori Barracuda sendiri tidak menyinggung eksploitasi di dunia nyata. watchTowr menyatakan merilis alat pembuat artefak deteksi, bukan kode eksploitasi.

Ada selisih kecil soal nomor versi. The Hacker News menulis perbaikan tersedia di versi 9.4.0.030 ke atas, sedangkan tabel watchTowr menyebut versi 9.4.0.029 sebagai versi yang sudah ditambal. Advisori Barracuda tidak mencantumkan nomor versi, hanya kode tambalan untuk tiap produk dan imbauan untuk meningkatkan ke firmware terbaru. Administrator disarankan memakai versi terbaru yang ditawarkan, bukan berpatokan pada satu nomor.

Pelajaran dari 2023

The Hacker News mengingatkan bahwa pada 2023 kelompok UNC4841 mengeksploitasi celah ESG lain, CVE-2023-2868, sebagai zero-day. Media itu menyebut kasus tersebut tidak terkait dengan dua celah baru ini, dan tidak ada yang mengaitkan pasangan CVE terbaru dengan pelaku mana pun.

Barracuda juga menganjurkan agar perangkat diatur menerima tambalan otomatis. Pertanyaan berikutnya ada pada dua hal: apakah kode eksploitasi publik muncul dalam beberapa hari ke depan setelah rincian teknis terbuka, dan apakah CISA memasukkan salah satu CVE ke daftar KEV.