Barracuda 官方更新安全公告，指旗下電郵安全閘道兩項高危漏洞已出現利用活動，少數機構受影響。兩項漏洞分別為無需登入的授權繞過，以及需管理權限的指令注入；攻擊者若能接觸管理介面並加以組合利用，可繞過權限控制並取得裝置最高權限。官方已發布修補，並建議把管理介面限制在可信內部網絡，同時盡快套用最新韌體與安全更新。

Barracuda／官方：已修補的電郵安全閘道漏洞遭利用——可組合取得裝置最高權限；少數機構受影響

網絡保安供應商 Barracuda 在官方信任中心更新產品安全公告，確認早前已修補的兩項高危漏洞，現已出現針對實際環境的利用活動。公告指受影響的機構數目不多，但若攻擊者能夠接觸受影響產品的管理介面，並把兩項漏洞一併利用，便有可能繞過授權控制，取得裝置的系統最高權限（root）。本報已核對 Barracuda 官方公告原文，來源真實性已驗證。以下整理事件背景、技術含義、企業與香港機構須留意的防禦要點，以及後續觀察。

一、核心事件

Barracuda 在二零二六年十一月二日公布，部分產品存在兩項漏洞：CVE-2026-116606 為預先驗證授權繞過，CVE-2026-111560 為指令注入。官方其後在十一月五日下午二時三十分（美國東部標準時間）更正第一項漏洞的說明，把「是否需要驗證」由「是，需要管理存取」改為「否（但須能接觸管理用戶介面）」：利用該漏洞並不一定需要先登入，但攻擊者必須能夠接觸裝置的管理介面。

十一月九日晚上九時（美國東部標準時間，即香港時間十一月十日上午十時），官方再次更新同一公告，新增有關利用活動的資訊，並寫明已識別到影響少數機構的利用活動。公告同時重申，官方已展開修復並為受影響產品發布安全修補，客戶應確認系統運行最新韌體，並套用所有安全更新。

獨立安全媒體 SecurityWeek 於香港時間十一月十一日下午報道同一進展；加拿大網絡安全中心亦就編號 AV26-1112 的警示在十一月九日作出更新，指公開報道顯示 CVE-2026-116606 已遭在野利用。本文技術細節與產品、修補編號均以 Barracuda 官方公告為準。

技術細節

根據官方安全公告資料：

CVE-2026-116606 屬預先驗證授權繞過，受影響產品為電郵安全閘道（Email Security Gateway，ESG），嚴重程度為高，CVSS 評分為九點三。官方列明無需驗證，但須能接觸管理用戶介面；建議升級至最新韌體。

CVE-2026-111560 屬指令注入，受影響產品包括電郵安全閘道、負載平衡應用交付控制器（ADC）、郵件歸檔器（BMA）、網站應用防火牆控制中心（WCC）、網站應用防火牆（WAF）及網站安全閘道（WSG），嚴重程度為高，CVSS 評分為八點六。官方列明需要管理存取權限；建議升級至最新韌體。

官方強調，成功利用須以能夠接觸受影響產品的管理介面為前提。若兩項漏洞被組合利用，攻擊者可繞過授權控制，並取得該裝置的最高權限。

就修補編號，官方列表載明：電郵安全閘道可套用 BNSF-40425（適用於九點四點零一七或更新版本）或 BNSF-40430（適用於低於九點四點零一七的版本）；ADC 與 WAF 均對應 BNADC-16586；BMA 對應 BNMA-32468；WCC 對應 BNWF-60060；WSG 對應 BNYF-24789。官方並指出，管理介面若並非從互聯網公開可達，相關攻擊路徑的暴露會較低；建議把管理介面限制在可信內部網絡，並以適當網絡存取控制降低暴露。若裝置韌體落後多個版本，可能需要分多於一次更新。尚未自動套用修補的客戶應盡快手動套用；若已關閉自動修補，官方建議重新設定裝置自動接收更新，並可按 Barracuda Campus 指引操作，或聯絡 [email protected] 尋求協助。

二、技術原理深度解析

這兩項漏洞本身分工不同，合在一起才構成官方所描述的完整風險路徑。

第一項是授權繞過。授權控制決定「誰可以做甚麼」；若在尚未通過身份驗證的情況下，請求仍被系統當成具備特定管理能力，攻擊者便可能改動本應受保護的設定。官方特別澄清，這並不代表攻擊者可以在完全接觸不到管理介面的情況下遠端得手——管理用戶介面必須對其可達。換言之，把管理介面暴露在公網，會把一項高評分漏洞直接放到攻擊面上；反之，以網絡層把管理入口收斂到可信區段，能明顯縮窄可被利用的條件。

第二項是指令注入。這類問題的核心，是應用在處理輸入時，把不可信資料拼進系統命令的執行路徑。官方把此漏洞標為需要管理存取，並指出它影響的產品範圍較廣，不限於電郵安全閘道，還包括負載平衡、網站應用防火牆及網站安全閘道等裝置。單一來看，它已足以在取得管理能力後把權限擴大到系統層；與第一項漏洞組合時，官方的表述是可繞過授權控制並取得 root。

對防禦團隊而言，重點不在重現攻擊步驟，而在理解暴露條件。電郵安全閘道通常處於郵件進出的關鍵路徑，一旦裝置本身被取得最高權限，後果可以超出單一設定被改寫，包括郵件檢查策略被削弱、裝置被改作踏腳石，或管理通道被長期占用。因此官方同時提出兩層補救：一是盡快套用已發布的韌體與修補；二是即使修補完成，仍應檢視管理介面是否仍可從互聯網直達，並以網絡存取控制把管理平面與郵件處理平面分開。自動修補被關閉的環境，亦應視為額外營運風險，因為修補即使已經存在，也不等於已經生效。

四、日常應用場景

1. 開發者與技術團隊

負責郵件、邊緣安全或網絡裝置的團隊，應先盤點環境中是否部署官方列表內的產品，核對目前韌體版本，並按官方修補編號確認 BNSF-40425、BNSF-40430 或其他對應補丁是否已套用。若版本落差較大，須預留分階段更新的時間與回退方案，避免一次跨越過多版本。同時應檢查管理介面的監聽範圍、VPN 或跳板機限制，以及變更視窗內的設定稽核，確認自動修補未被關閉。

2. 企業與隱私敏感行業

金融、專業服務、醫療及處理大量客戶通訊的機構，電郵閘道往往是防範勒索軟件附件與商業電郵詐騙的第一線。裝置若被取得最高權限，影響的不只是可用性，還可能牽涉郵件流向、歸檔完整性與合規舉證。這類機構宜把今次事件納入緊急變更，優先完成修補與管理平面收斂，並由資安與營運團隊共同檢查是否有異常管理登入、非預期設定改動或來源不明的外連。供應商支援通道應只使用官方公布的聯絡方式。

3. 一般用戶

一般電郵用戶無須自行修補上述裝置，但企業若使用相關閘道處理往來郵件，員工仍可能間接受影響。用戶應繼續提防異常的密碼重設、匯款或「系統升級」來信，並向內部資訊部門確認公司郵件入口的正式網址。機構完成修補期間，如出現短暫郵件延遲或需要重新驗證登入，應以公司官方通知為準，避免聽從未經核實的即時通訊指示。

4. 香港與亞洲市場視角

香港不少企業把電郵保安、網站防火牆或負載平衡以硬體或虛擬裝置方式放在辦公室機房、數據中心或雲端邊緣。部分環境為求遠端維運，會把管理介面直接映射到公網，或僅以預設端口限制代替真正的網絡分隔，這正好符合官方所述的攻擊前提。本地團隊應立即檢查相關裝置是否仍從互聯網可達，並把管理存取收回 VPN、零信任或專用管理網段。亞太區若有跨辦事處共用同一郵件閘道或由服務供應商代管的情況，亦應向供應商索取已套用官方修補的書面確認，而不是只查看控制台顯示「已是最新」。

五、專業評價與潛在考量

優勢

官方在確認少數機構出現利用活動後，選擇公開更新原有公告，而不是只在後台通知個別客戶，有助其他使用者盡快對照自身暴露面。公告同時給出 CVE 編號、CVSS 評分、受影響產品對照表與具體修補編號，並把「必須能接觸管理介面」這項前提寫清楚，讓防禦工作可以同時走向修補與網絡收斂，而不是只依賴單一更新包。對於已關閉自動修補的環境，官方亦明確建議重新開啟，減少「補丁已發布但裝置未收到」的空窗。

需要留意的地方

官方只寫明利用活動影響少數機構，並未在這份公告中公開攻擊者身份、利用規模、具體手法或入侵指標，外部團隊不宜把「少數」理解為低風險而延後處理。兩項漏洞的驗證條件並不相同，若只修補其中一項，或只升級部分型號，組合風險未必完全消除。公告中各產品的修補編號並不一致，電郵安全閘道還須按九點四點零一七為界選擇對應補丁；韌體落後多個版本時，一次更新可能不足。此外，管理介面即使已限制來源，若跳板機、遠端支援或合作供應商通道本身缺乏監控，攻擊路徑仍可能迂回進入。企業在套用更新後，仍應檢查設定是否被改動，並持續觀察異常管理行為。

結語

已發布的修補並不自動等於風險結束。當官方確認漏洞已在少數機構被利用，電郵閘道、防火牆與負載平衡等裝置的管理平面，就應立即視為須優先收斂的攻擊面：先完成官方修補，再檢查管理介面是否仍暴露於互聯網，並恢復自動更新與變更稽核。對於需要檢視電郵閘道、邊緣安全裝置與雲端工作負載暴露面的企業，YSK Limited 提供雲端與零信任資安服務，數據百分之一百留在香港，並以百分之九十九點九九服務水平協議運作，詳情見 https://ysk.hk/services/cloud-security

參考來源

• Barracuda 官方安全公告：Pre-Authentication Authorization Bypass and Command Injection Vulnerabilities in Certain Barracuda Products — https://trust.barracuda.com/security/pre-authentication-authorization-bypass-command-injection
• 加拿大網絡安全中心警示 AV26-1112（十一月九日更新）— https://www.cyber.gc.ca/en/alerts-advisories/barracuda-networks-security-advisory-av26-1112
• SecurityWeek：Recently Patched Barracuda Vulnerabilities Exploited in Attacks — https://www.securityweek.com/recently-patched-barracuda-vulnerabilities-exploited-in-attacks/
• The Register：Barracuda’s email security gateways bitten by make-me-root vulns — https://www.theregister.com/security/2026/11/10/barracudas-email-security-gateways-bitten-by-make-me-root-vulns/5308883
• BleepingComputer：Hackers now exploit critical Barracuda ESG flaws to gain root access — https://www.bleepingcomputer.com/news/security/hackers-exploit-barracuda-email-security-gateway-flaws-to-get-root-access/