Apa yang terjadi
CISA menambahkan kedua CVE Barracuda ke katalog KEV pada 2026-11-10 dengan eksploitasi di dunia nyata yang terkonfirmasi (pengungkapan Mandiant MNDT-2026-0041/0042). CWE-78 / CWE-288.
Mengapa penting
Perangkat email/edge perusahaan, bukan spesifik AI. Disertakan sesuai aturan cakupan KEV (eksploitasi ITW terkonfirmasi adalah sinyal operasional).
Vektor serangan
CVE-2026-111560: injeksi perintah OS. CVE-2026-116606: bypass autentikasi melalui jalur alternatif memungkinkan penyerang jarak jauh tanpa autentikasi memanggil fungsi impor konfigurasi dan memulihkan arsip cadangan yang direkayasa, mengubah konfigurasi.
Sistem yang terdampak
Beberapa peralatan Barracuda (lihat advisory)
Mitigasi
Terapkan mitigasi vendor sesuai advisory kepercayaan Barracuda; batas waktu federal CISA 2026-11-13.