무슨 일이 있었나
CISA는 2026-11-10에 두 Barracuda CVE를 야외에서 확인된 악용과 함께 KEV 카탈로그에 추가했습니다 (Mandiant MNDT-2026-0041/0042 공개). CWE-78 / CWE-288.
왜 중요한가
기업 이메일/엣지 어플라이언스, AI 전용 아님. KEV 적용 범위 규칙에 따라 포함됨 (확인된 ITW 악용은 운영 신호입니다).
공격 경로
CVE-2026-111560: OS 명령 주입. CVE-2026-116606: 대체 경로를 통한 인증 우회로 인증되지 않은 원격 공격자가 구성 가져오기 기능을 호출하고 조작된 백업 아카이브를 복원하여 구성을 변경할 수 있습니다.
영향받는 시스템
다중 Barracuda 어플라이언스 (권고 참조)
완화 방안
Barracuda 신뢰 권고에 따라 공급업체 완화 조치를 적용하십시오; CISA 연방 마감일 2026-11-13.