概要
管理者としてログインした攻撃者が、設定欄から root 権限で OS のコマンドを実行できる。
元の説明（英語）を読む
Improper neutralization of shell metacharacters in the timezone configuration field in certain Barracuda appliance products using common Barracuda code allows an authenticated administrator to inject OS commands that execute with root privileges when the crafted timezone value is subsequently processed.
影響を受ける人
Barracuda の ESG・WAF・WSG などの管理者
対策
- ベンダーの告知を確認する
国内の動き
- Security NEXT（報道）↗11/11
海外の動き
- CISA（注意喚起）↗11/10
PoC
公開されている PoC は、まだ見つかっていない。
経過
2026年11月2日・一次情報
脆弱性が公開された
2026年11月10日・悪用確認
CISA が KEV に追加（悪用を確認）（Bluesky で元の投稿に返信）
2026年11月11日・国内
Security NEXT が報道
影響する版
Barracuda Networks Barracuda Email Security Gateway (ESG)範囲は告知を確認
Barracuda Networks Barracuda Load Balancer Application Delivery Controller (ADC)範囲は告知を確認
Barracuda Networks Barracuda Web Application Firewall (WAF)範囲は告知を確認
Barracuda Networks Barracuda Web Security Gateway (WSG)範囲は告知を確認
Barracuda Networks Barracuda Message Archiver (BMA)範囲は告知を確認
Barracuda Networks Barracuda WAF Control Center (WCC)範囲は告知を確認