Hackeri zneužívajú kritické chyby v Barracuda ESG a získavajú root prístup

Predstavte si, že útočník nepotrebuje heslo, neklika na žiadny phishingový odkaz a napriek tomu sa dostane až k root prístupu na vašej e-mailovej bráne. Presne to sa teraz deje zákazníkom spoločnosti Barracuda Networks. Spoločnosť v novembri 2026 potvrdila, že dve kritické chyby v zariadeniach Email Security Gateway (ESG) už nie sú len teoretickým rizikom: útočníci ich aktívne zneužívajú v reálnych útokoch.

Čo sú zraniteľnosti Barracuda ESG a prečo sú nebezpečné?

Zraniteľnosti Barracuda ESG sú dve bezpečnostné chyby evidované ako CVE-2026-116606 a CVE-2026-111560, ktoré sa pri kombinovanom zneužití dajú využiť na obídenie autorizačných kontrol a získanie úplnej kontroly nad zariadením s právami root. Barracuda ich opravila pred týždňom, no útočníci ich medzitým začali zneužívať v praxi.

Podľa informácií portálu BleepingComputer prvá chyba súvisí so slabinou v overovaní na úrovni administrátorského rozhrania (Admin UI), ktorá umožňuje zmeniť globálnu konfiguráciu zariadenia. Druhá, závažnejšia chyba, umožňuje aj neautentifikovanému útočníkovi vložiť príkazy operačného systému, ktoré sa následne vykonajú s najvyššími možnými oprávneniami. Barracuda v pondelok večer aktualizovala pôvodný bezpečnostný bulletin a priznala, že obe chyby sú zneužívané pri útokoch na obmedzený počet zákazníkov.

Podmienkou úspešného útoku je prístup k administrátorskému rozhraniu zariadenia. To znamená, že firmy, ktoré majú toto rozhranie vystavené na verejnej sieti alebo nedostatočne obmedzené, sú vystavené oveľa väčšiemu riziku ako tie, ktoré ho majú zabezpečené iba pre interné siete.

Prečo by sa tým mali zaoberať aj slovenské firmy

Email Security Gateway nie je exotický produkt pre korporácie. Riešenia na ochranu e-mailovej komunikácie typu Barracuda využívajú bežne aj menšie a stredné firmy na západnom Slovensku, ktoré si chcú odfiltrovať spam, phishing a škodlivé prílohy ešte pred doručením do schránky. Problém je, že práve tieto zariadenia majú často administrátorský prístup nastavený pohodlnejšie, než by malo byť bezpečné, pretože ich niekto kedysi nastavil „aby to fungovalo“ a odvtedy sa k tomu nikto nevrátil.

Ak útočník získa root prístup na e-mailovej bráne, nejde len o jedno zariadenie. Cez takto kompromitovaný systém sa dá sledovať komunikácia firmy, modifikovať pravidlá filtrovania alebo sa dokonca použiť ako odrazový mostík do zvyšku firemnej siete. Pre firmu to v praxi znamená riziko úniku citlivých údajov, výpadok e-mailovej komunikácie aj reputačné škody voči klientom.

Ako sa chrániť pred podobnými útokmi

Barracuda zákazníkom odporúča obmedziť prístup k administrátorskému rozhraniu len na dôveryhodné interné siete a použiť vhodnú segmentáciu a kontrolu prístupu. To je v princípe rovnaká zásada, ktorú by mala dodržiavať každá firma pri každom sieťovom zariadení, nielen pri e-mailovej bráne. Správne nastavený firewall dokáže zabrániť tomu, aby bolo administrátorské rozhranie vôbec viditeľné z verejného internetu.

Problémom pri takýchto zraniteľnostiach je aj to, že firmy často nevedia, že ich majú. Aktualizácie firmvéru a bezpečnostné bulletiny výrobcov sledujú zriedka, pretože na to jednoducho nemajú interné kapacity. Práve preto má zmysel nechať si stav infraštruktúry pravidelne preveriť formou IT auditu, ktorý odhalí zastarané verzie firmvéru, zle nastavené prístupy aj zbytočne vystavené služby. Rozdiel medzi auditom, bezpečnostným auditom a penetračným testom sme podrobne vysvetlili v samostatnom článku o rozdieloch medzi týmito metódami.

Aké riešenie na ochranu firemnej e-mailovej a sieťovej infraštruktúry odporúčate pre malú firmu?

Pre malú firmu s 10 až 50 zamestnancami odporúčame kombináciu troch vecí: pravidelnú kontrolu a aktualizáciu firewallu, penetračný test zameraný na verejne dostupné rozhrania minimálne raz ročne a nasadenie ochrany koncových zariadení. Ak firma nemá internú IT kapacitu na sledovanie bezpečnostných bulletinov výrobcov, má zmysel zveriť túto agendu externému partnerovi, ktorý vie do 24 až 48 hodín od zverejnenia kritickej zraniteľnosti overiť, či sa vás týka.

Práve preto, že podobné zraniteľnosti sa objavujú opakovane a nielen pri Barracude, oplatí sa nechať si vystavené rozhrania preveriť formou penetračných testov. Tie simulujú reálny útok a odhalia slabé miesta skôr, než ich nájde niekto nepovolaný. Podľa odporúčaní agentúry ENISA patria zraniteľnosti na perimetri siete dlhodobo medzi najčastejšie zneužívané vstupné body do firemných systémov, podobne ako to potvrdzuje aj SK-CERT, ktorý pravidelne upozorňuje slovenské firmy a inštitúcie na aktuálne hrozby.

Čo robiť, ak takéto zariadenie vo firme používate

Prvý krok je jednoduchý: overte si, či máte nainštalovanú najnovšiu verziu firmvéru podľa oficiálneho bulletinu výrobcu. Druhý krok je nastaviť prístup k administrátorskému rozhraniu výhradne z internej siete alebo cez zabezpečené VPN pripojenie. Tretí, a často podceňovaný, krok je mať pod kontrolou aj ostatné koncové zariadenia, pretože e-mailová brána nie je jediná cesta, ktorou sa útočník môže dostať do firemnej siete. Tomu, čo firma skutočne potrebuje na ochranu notebookov zamestnancov, sa venujeme v samostatnom článku o endpoint security.

Ak si na toto všetko netrúfate sami alebo jednoducho nemáte čas sledovať desiatky bezpečnostných bulletinov od rôznych výrobcov, je to presne situácia, keď sa oplatí zveriť IT bezpečnosť externému partnerovi. Ušetríte si tak nervy aj čas, ktorý by ste museli venovať štúdiu technickej dokumentácie namiesto vedenia vlastného podnikania.

Čo by vás ešte mohlo zaujímať

Ako viem zistiť, či moja firma používa zraniteľné zariadenie Barracuda ESG?

Skontrolujte verziu firmvéru vo vašom administrátorskom rozhraní a porovnajte ju s oficiálnym bezpečnostným bulletinom výrobcu. Ak si nie ste istí, ako verziu overiť alebo ako bezpečne aktualizovať zariadenie bez výpadku e-mailovej komunikácie, odporúčame nechať si infraštruktúru skontrolovať odborníkom.

Prečo je nebezpečné mať administrátorské rozhranie dostupné z internetu?

Ak je administrátorské rozhranie vystavené verejne, útočník ho môže nájsť aj automatizovaným skenovaním internetu, bez toho, aby vedel, že vaša firma vôbec existuje. Obmedzenie prístupu len na internú sieť alebo VPN výrazne znižuje pravdepodobnosť zneužitia podobných zraniteľností.

Stačí len nainštalovať aktualizáciu od výrobcu, alebo je potrebné urobiť viac?

Aktualizácia je nevyhnutný prvý krok, no sama o sebe nestačí. Dôležité je tiež overiť, či nedošlo k zneužitiu ešte pred inštaláciou opravy, a prípadne skontrolovať logy a nastavenia zariadenia. Preto má zmysel kombinovať patch manažment s pravidelným IT auditom.

Ako často by mala firma kontrolovať svoje sieťové a bezpečnostné zariadenia?

Odporúčame minimálne raz ročne komplexnú kontrolu formou IT auditu alebo penetračného testu, a priebežne sledovať bezpečnostné bulletiny výrobcov používaných zariadení. Pri kritických zraniteľnostiach, akou je aj táto v Barracuda ESG, je vhodné reagovať čo najskôr po zverejnení opravy, ideálne do niekoľkých dní.