Barracuda bị khai thác hai lỗ hổng vừa vá, CISA yêu cầu gấp rút

Các tác nhân tấn công đã bắt đầu khai thác hai lỗ hổng Barracuda vừa được vá, có thể bị chuỗi khai thác để vượt qua kiểm soát phân quyền và chiếm quyền root trên thiết bị.

Barracuda

Hai lỗ hổng và cách chúng bị chuỗi khai thác

Lỗ hổng thứ nhất, được gán mã CVE-2026-116606 với điểm CVSS 9.3, là lỗi bỏ qua xác thực (authentication bypass) trong Barracuda Email Security Gateway (ESG). Kẻ tấn công có quyền truy cập vào giao diện quản trị (Admin UI) có thể kích hoạt lỗi này để khôi phục một bản sao lưu được chế tạo sẵn và thay đổi cấu hình của thiết bị.

Lỗ hổng thứ hai, CVE-2026-111560 với điểm CVSS 8.6, là một điểm yếu tiêm lệnh (command injection) ảnh hưởng tới Barracuda ESG, Load Balancer Application Delivery Controller (ADC), Web Application Firewall (WAF), Web Security Gateway (WSG), Message Archiver (BMA) và WAF Control Center (WCC).

Kẻ tấn công có quyền quản trị trên thiết bị bị ảnh hưởng có thể lợi dụng lỗ hổng này để tiêm các lệnh hệ điều hành (OS command) và chúng sẽ được thực thi với đặc quyền root.

"Nếu bị khai thác kết hợp, các lỗ hổng này có thể cho phép kẻ tấn công vượt qua kiểm soát phân quyền và giành quyền root trên thiết bị", Barracuda cho biết hôm 2/11.

Diễn biến sau khi công bố

Một tuần sau, công ty cập nhật khuyến cáo để cảnh báo rằng các tác nhân tấn công đã khai thác hai lỗ hổng này nhắm vào một số lượng nhỏ tổ chức.

Hôm thứ Ba, cơ quan an ninh mạng Mỹ CISA đã thêm CVE-2026-116606 và CVE-2026-111560 vào danh mục Lỗ hổng đã bị khai thác được biết đến (Known Exploited Vulnerabilities – KEV), yêu cầu các cơ quan liên bang vá chúng trong vòng ba ngày theo quy định BOD 26-04.

Minh họa an ninh mạng

Barracuda và CISA chưa công bố chi tiết về vụ khai thác, nhưng hãng an ninh mạng Previdian đã ghi nhận 17 nỗ lực nhắm vào CVE-2026-116606 trong khoảng thời gian từ ngày 9 đến 11/11. Các cuộc tấn công xuất phát từ 15 địa chỉ IP tại ba quốc gia.

Khuyến nghị cho tổ chức

Tất cả tổ chức được khuyến cáo cập nhật sản phẩm Barracuda càng sớm càng tốt, đồng thời đảm bảo giao diện quản trị không bị phơi ra internet. Quyền truy cập vào các giao diện này chỉ nên giới hạn cho những mạng nội bộ đáng tin cậy.

SecurityWeek

Góc nhìn

Sự việc cho thấy một mẫu tấn công quen thuộc nhưng vẫn hiệu quả: kẻ tấn công nhắm vào chính giao diện quản trị của các thiết bị bảo mật và cổng email. Với CVE-2026-116606, chỉ cần có quyền vào Admin UI là đủ để thay đổi cấu hình thiết bị, nghĩa là việc để lộ giao diện quản trị ra internet tạo ra rủi ro rất lớn, kể cả khi đã áp dụng bản vá.

Đối với đội ngũ vận hành và kỹ sư hạ tầng tại Việt Nam, bài học thực tế là cần rút giao diện quản trị của các thiết bị như ESG, WAF hay ADC khỏi internet, chỉ cho phép truy cập qua mạng nội bộ, VPN hoặc lớp kiểm soát truy cập. Bên cạnh đó, các tổ chức nên theo dõi cả danh mục KEV để ưu tiên vá những lỗ hổng đã bị khai thác trong thực tế, thay vì chỉ dựa vào điểm CVSS.