CVE

認証なしで、設定のインポート機能を使われ、装置全体の設定を書き換えられる。

代替経路による認証回避。対象は Barracuda Email Security Gateway（9.4.0.030 未満）。

CVE-2026-116606EUVD-2026-115149GHSA-9FCR-MP7P-HPRV至急

一言・影響を受ける人・対策は AI（sonnet）が元の説明文から作成。版の番号などは元の文と機械で照合した。対応の前に元の告知を確かめてほしい。誤りに気づいたら運営者へ。

CVSS

9.3

Critical

CNA

悪用

確認済み（CISA KEV）

11/10 に追加

PoC

公開（1件）

初出 11/6・未検証

修正

修正版あり

9.4.0.030 以降

国内

報道あり

Security NEXT（11/11）

まずやること：Email Security Gateway を 9.4.0.030 以降に更新する

公開

2026年11月2日

最終更新

2026年11月11日

優先度の理由

悪用確認済み・PoC 公開

最終確認

2026年11月12日

EPSS

10.95%

PoC

1件（未検証）

攻撃の条件

ネット越し・ログイン不要・相手の操作は要らない

国内

国内報道（Security NEXT）

概要

認証なしで、設定のインポート機能を使われ、装置全体の設定を書き換えられる。

元の説明（英語）を読む

An authentication bypass in Barracuda Email Security Gateway versions earlier than 9.4.0.030 allows an unauthenticated remote attacker to invoke a configuration-import function and restore a crafted, compatible backup archive, resulting in unauthorized modification of the appliance’s global configuration.