Celah Barracuda ESG CVE-2026-116606 Masuk Daftar KEV

Kantormu memakai Barracuda Email Security Gateway (ESG) untuk menyaring email masuk? Sudah waktunya memastikan patch November benar-benar terpasang. Dua celah di perangkat ini kini resmi masuk katalog Known Exploited Vulnerabilities (KEV) milik CISA, yang artinya sudah ada bukti eksploitasi nyata.

Jawaban singkatnya: Barracuda merilis patch pada 2 November 2026, dan CISA memasukkan CVE-2026-116606 serta CVE-2026-111560 ke katalog KEV pada 10 November 2026. Semua model ESG dengan firmware di bawah 9.4.0.030 rentan. Pasang patch, verifikasi, lalu pastikan antarmuka admin tidak bisa diakses dari internet.

Apa isi dua celah ini?

CVE-2026-116606 adalah celah bypass autentikasi dengan skor CVSS 9.3 yang hanya ada di ESG. Menurut advisory Mandiant yang dikutip SecurityWeek, celah ini memungkinkan penyerang jarak jauh tanpa autentikasi memanggil fungsi impor konfigurasi. Dengan kata lain, penyerang bisa mengubah konfigurasi global perangkat.

CVE-2026-111560 adalah celah command injection di pengaturan zona waktu, dengan skor CVSS 8.6. Kodenya dipakai bersama di beberapa produk Barracuda, sehingga dampaknya lebih luas dari ESG saja.

Bila keduanya dirantai, Barracuda sendiri menyatakan penyerang bisa melewati kontrol otorisasi dan mendapatkan akses root ke perangkat. Untuk perangkat yang tugasnya memeriksa seluruh email perusahaan, akses root berarti penyerang berada di posisi yang sangat strategis.

Ada satu hal yang sempat membingungkan. Advisory awal menyebut celah ini butuh akses administratif. Laporan media kemudian menyebut advisory itu dikoreksi pada 5 November 2026: CVE-2026-116606 tidak memerlukan autentikasi, tetapi antarmuka administrasi harus bisa dijangkau penyerang. Jadi yang menentukan bukan kata sandi admin, melainkan apakah halaman admin bisa diakses dari jaringan penyerang.

Produk mana yang terdampak?

Data tabel dari laporan BleepingComputer yang merangkum advisory Barracuda. Rantai menuju root lewat CVE-2026-116606 hanya berlaku di ESG, tetapi produk lain tetap perlu ditambal karena CVE-2026-111560 juga masuk KEV.

Langkah mengamankan Barracuda ESG

1. Cek versi firmware

Buka antarmuka admin ESG dan lihat versi firmware yang berjalan. Perangkat juga menampilkan versi terbaru yang tersedia. Kalau versinya di bawah 9.4.0.030, perangkat itu rentan.

2. Pasang patch dan nyalakan patch otomatis

Barracuda menyatakan patch yang tidak terpasang otomatis harus dipasang manual. Kalau patch otomatis pernah kamu matikan, nyalakan lagi.

Perangkat yang tertinggal beberapa versi mungkin perlu beberapa tahap upgrade sebelum sampai ke versi perbaikan. Sisihkan waktu lebih, jangan berharap selesai dalam sekali klik.

3. Verifikasi, jangan berasumsi

Setelah update, cek ulang versi firmware dan pastikan hotfix yang sesuai sudah tercatat. Ada laporan yang menyebut sumber berbeda soal batas versi aman (9.4.0.029 atau 9.4.0.030). Kalau ragu, pakai 9.4.0.030 sebagai batas aman dan konfirmasi ke dukungan Barracuda.

4. Tutup antarmuka admin dari internet

Barracuda dan para peneliti sepakat: antarmuka admin hanya boleh dijangkau dari jaringan internal tepercaya atau jaringan manajemen khusus. Kalau admin perlu mengakses dari luar kantor, lewatkan dulu melalui VPN atau lapisan akses tambahan. Langkah ini juga menutup jalan bagi celah serupa di masa depan.

5. Periksa tanda pembobolan

Karena celah ini sudah dieksploitasi, patch saja belum cukup. Tinjau log admin, cari akun admin yang tidak dikenal, cek perubahan konfigurasi yang tidak kamu lakukan, dan perhatikan koneksi keluar yang tidak biasa dari perangkat.

Kenapa masuknya ke KEV penting?

Katalog KEV hanya berisi celah yang terbukti dieksploitasi. Lembaga federal AS wajib menambalnya dalam tenggat tertentu, dan banyak organisasi swasta memakai daftar ini sebagai acuan prioritas. Penjelasan lengkapnya ada di artikel katalog KEV CISA.

Kasus ini juga menunjukkan bahwa skor bukan segalanya. CVE-2026-111560 "hanya" 8.6, tetapi menjadi mata rantai menuju root. Cara menimbang skor dengan konteks dibahas di cara membaca skor CVSS.

ESG juga punya riwayat sebagai sasaran. Pada 2023, celah ESG seperti CVE-2023-2868 dieksploitasi kelompok UNC4841, dan saat itu Barracuda menyarankan perangkat yang terkompromi diganti, bukan sekadar ditambal. Pelajaran itu relevan lagi sekarang: patch menutup celah, tetapi tidak menghapus akses yang mungkin sudah didapat penyerang.

Checklist singkat:

• Firmware ESG sudah 9.4.0.030 atau lebih baru.
• Produk Barracuda lain yang terdampak CVE-2026-111560 juga sudah ditambal.
• Patch otomatis aktif.
• Antarmuka admin tidak terbuka ke internet.
• Log admin dan akun admin sudah diperiksa.