11 月 2 日，Barracuda 发布安全公告，修掉两个可以串起来用的漏洞：CVE-2026-116606（预认证授权绕过，CVSS 4.0 评分 9.3）与 CVE-2026-111560（时区配置字段命令注入，CVSS 4.0 评分 8.6）。单独看，前者只是”能改设备配置”，后者要求管理员权限；串起来就是从登录页打进设备 root。受影响产品包括邮件安全网关 ESG、负载均衡 ADC、Web 应用防火墙 WAF、Web 安全网关 WSG、邮件归档 BMA 和 WAF 控制中心 WCC。
事件概述
两个漏洞由 Mandiant 报送（编号 MNDT-2026-0041、MNDT-2026-0042），CVE 记录于 11 月 2 日 12:59 UTC 发布，状态为 Awaiting Analysis，暂未收录进 CISA KEV，公告中也未提及在野利用。受影响范围并不完全重叠：ESG 两个都中，其余五款只中 CVE-2026-111560。
官方给出的补丁号按产品分列：
- ESG：BNSF-40425（适用于 9.4.017 及以上）、BNSF-40430（适用于 9.4.017 以下）
- ADC 与 WAF：BNADC-16586
- BMA：BNMA-32468；WCC：BNWF-60060；WSG：BNYF-24789
技术细节
CVE-2026-116606 归为 CWE-288（通过替代路径或通道绕过认证）。CNA 描述是：9.4.0.030 之前的 ESG，未认证远程攻击者可调用配置导入功能，还原一个精心构造的兼容备份包，从而未授权修改设备全局配置。也就是说，攻击面是”配置恢复”这个日常运维动作，输入是一个攻击者可控的归档文件。
CVE-2026-111560 归为 CWE-78。由于多款 Barracuda 设备共用同一套底层代码，时区配置字段没有对 shell 元字符做中和处理，已认证管理员写入的恶意时区值会在后续被处理时以 root 身份执行。
链路因此很清晰：先用配置导入把管理员身份或凭证”种”进设备，再拿这个身份去时区字段落地 root 命令。真正危险的不是两个漏洞的分值，而是它们咬合后跨越了”设备配置层”与”操作系统层”的边界。
这里有个容易被忽略的表述差异：CVE 描述写的是 unauthenticated，而 Barracuda 公告的风险表里写 “Authentication Required: Yes, administrative access”。两者并不矛盾，公告正文的原文是攻击者需要 access to the administrative interface，指的是网络可达，不是已登录。真正的前置条件是管理界面暴露在公网，而不是手里有密码。这一点直接决定了谁在射程内。
影响评估
9.3 分的计算里，VC/VI/VA 全高，但后续系统影响 SC/SI/SA 全为 N，CVSS 4.0 因此把分数压在 9.3 而非满分；8.6 分则是因为 PR:H。链式成功后等于设备 root，落到具体产品上：邮件网关丢的是全部邮件流、对接的 AD/LDAP 凭据和 TLS 私钥；WAF 与 ADC 丢的是流量改写能力与证书，等于在入口处开了后门。
修复建议
- 先确认固件版本，再按产品装对应补丁；固件落后多个版本的设备需要连续升级多次，不能只打一个包。
- 把管理界面收进内网或跳板机，用网络 ACL 限制来源。公告明确说管理界面不对公网开放的部署，暴露程度更低。
- 检查自动补丁开关是否被人为关闭；关闭的建议重新打开。
- 排查可疑的配置导入记录：管理面访问日志里出现非运维时段的 restore/import 请求，或配置被意外重置，都应视为疑似入侵。
- 已经对外暴露过管理面的设备，补丁之外还要轮换设备上的管理员口令、对接的目录服务凭据与证书私钥。
顺带说一句运维习惯：网络安全设备的管理口是最容易被”临时放开一下”的，装维时开个公网映射、事后忘了关，这类配置在中小企业里非常普遍。Barracuda 这次的公告等于再次提醒，邮件网关、WAF、负载均衡这些设备上的管理面，价值和风险是同一个量级——它守着整个入口，也握着整个入口。