何が起きたか
CISAは2026-11-10に両方のBarracuda CVEを実環境での悪用が確認されたとしてKEVカタログに追加しました（Mandiant MNDT-2026-0041/0042開示）。CWE-78 / CWE-288。
なぜ重要か
企業向けメール/エッジアプライアンスであり、AI固有ではありません。KEVカバレッジルール（実環境での悪用確認は運用上のシグナル）に従って含まれています。
攻撃経路
CVE-2026-111560: OSコマンドインジェクション。CVE-2026-116606: 代替パスによる認証バイパスにより、認証されていないリモート攻撃者が設定インポート機能を呼び出し、細工されたバックアップアーカイブを復元して設定を変更できます。
影響を受けるシステム
複数のBarracudaアプライアンス（アドバイザリ参照）
緩和策
Barracudaの信頼アドバイザリに従ってベンダーの緩和策を適用してください。CISA連邦機関の期限は2026-11-13です。