CISA KEV: Barracuda, Outlook a další zneužívané chyby

Šest přírůstků KEV zahrnuje převzetí zařízení Barracuda, únik ověřovacích údajů z Outlooku i spuštění kódu v prohlížeči. Přehled doplňují chyby Cisco BroadWorks a Openwave, u nichž jsou opravy dostupné již delší dobu.

CISA zařadila všech šest zranitelností do katalogu 10. listopadu 2026. Dvě z nich lze na e-mailové bráně Barracuda spojit do jediného útoku. U ostatních se podmínky liší: Outlook vyžaduje otevření škodlivého souboru, BroadWorks může vydat citlivé soubory bez přihlášení a chyba Openwave předpokládá ověřeného uživatele.

Barracuda Email Security Gateway obsahuje CVE-2026-116606, která umožňuje bez přihlášení vyvolat import konfigurace a obnovit připravenou kompatibilní zálohu. Tím útočník neoprávněně mění globální nastavení zařízení. Mandiant uvádí postižené verze před 9.4.0.030 a skóre CVSS 4.0 ve výši 9,3. Podmínkou je dosažitelnost administračního rozhraní; přístup k tomuto rozhraní není totéž jako znalost administrátorského hesla.

Druhá chyba, CVE-2026-111560, spočívá ve zpracování hodnoty časového pásma. Přihlášený administrátor do ní může vložit příkazy, které se následně provedou s oprávněním root. Mandiant hodnotí tuto zranitelnost CVSS 4.0 ve výši 8,6. Kromě ESG se týká také Load Balancer Application Delivery Controller, Message Archiver, WAF Control Center, Web Application Firewall a Web Security Gateway. Samostatně vyžaduje správcovská oprávnění; v kombinaci s předchozí chybou však na ESG vzniká cesta k ovládnutí zařízení bez předchozího přihlášení. Tento dvoučlánkový řetězec nelze automaticky přenášet na všechny ostatní uvedené produkty.

Barracuda potvrdila zneužití u malého počtu organizací. Pro ESG uvádí záplatu BNSF-40425 pro větev označenou 9.4.017 a vyšší a BNSF-40430 pro starší vydání. Pro ADC a WAF uvádí BNADC-16586, pro Message Archiver BNMA-32468, pro WAF Control Center BNWF-60060 a pro Web Security Gateway BNYF-24789. Výrobce požaduje aktuální firmware i všechny bezpečnostní záplaty. Pokud se záplata nenainstalovala automaticky, má se použít ruční postup; u výrazně zastaralého firmwaru může být nutných více aktualizací. Dostupnost administračního rozhraní doporučuje omezit na důvěryhodné vnitřní sítě. Ověření konkrétní záplaty je důležité i tam, kde zařízení již hlásí aktuální firmware.

Microsoft Outlook obsahuje CVE-2026-124194 se skóre CVSS 3.1 ve výši 6,5. Útočník může uživatele přimět k otevření připraveného souboru, po němž se Outlook spojí s jím řízeným síťovým umístěním bez obvyklého upozornění na externí obsah. Podle Microsoftu tím může uniknout hash NTLMv2, použitelný ke zneužití identity uživatele. Nejde o potvrzené odhalení hesla v čitelné podobě. Útok vyžaduje síťové spojení a interakci uživatele; Microsoft výslovně uvádí, že podokno náhledu není útočnou cestou.

Oprava je součástí aktualizací Office z 10. listopadu. Pro Office LTSC 2021 Microsoft uvádí sestavení 16.0.14334.21048 a pro LTSC 2024 sestavení 16.0.17932.21140. U Microsoft 365 Apps záleží na aktualizačním kanálu: například Current Channel dostává verzi 2610 se sestavením 20527.20196. Správci mají porovnat nasazený kanál s příslušnou položkou přehledu bezpečnostních vydání, nikoli požadovat stejné číslo na všech instalacích. Microsoft zneužití této chyby potvrzuje i ve svých strukturovaných bezpečnostních údajích.

V Chromiu se zneužívá CVE-2026-125350, chyba typu use-after-free v komponentě XML. Program při ní pracuje s již uvolněnou pamětí a připravená webová stránka může vést ke spuštění kódu uvnitř sandboxu. CISA ADP uvádí CVSS 3.1 ve výši 8,8; Google ji označuje za vysoce závažnou a potvrzuje existenci exploitu v reálném provozu. Samotný popis této chyby nedokládá únik ze sandboxu ani plné převzetí operačního systému.

Google vydal opravu 9. listopadu v Chrome 157.0.8103.50/.51 pro Windows a macOS a 157.0.8103.50 pro Linux. Aktualizaci je vhodné dokončit restartem prohlížeče a ověřením běžící verze. Protože jde o komponentu Chromia, je nutné sledovat také aktualizace dalších prohlížečů založených na stejném projektu; čísla opravených sestavení Chrome nelze přebírat jako čísla oprav Edge nebo Opery.

Cisco BroadWorks obsahuje v XML parseru rozhraní Open Client Interface chybu CVE-2026-20320 s CVSS 3.1 ve výši 7,5 podle Cisco. Zpracování externích entit umožňuje vzdálenému útočníkovi bez přihlášení zaslat připravenou zprávu službě OCI-P a přečíst citlivé soubory s oprávněními uživatele BroadWorks. Postiženy jsou Application Delivery Platform, Application Server, Profile Server a Xtended Services Platform ve vydáních před RI.2026.07. Tato verze obsahuje opravu; u Application Delivery Platform tabulka zmiňuje komponenty Open Client Server a OCIOverSoap. Náhradní řešení Cisco neuvádí. Původní srpnový bulletin ještě tvrdí, že výrobce o zneužití neví, ale novější zařazení do KEV tento tehdejší stav překonává.

Openwave Webtop Media Transcoder ve verzích před 1.1.22.0 nevynucuje administrátorem nastavená omezení typů souborů. Přihlášený uživatel tak může mimo obvyklé webmailové rozhraní předat ke zpracování a převodu i nepovolené typy dokumentů. Jde o CVE-2026-111793, kterou Openwave hodnotí CVSS 3.1 ve výši 4,3. Samotný zveřejněný popis nedokládá vzdálené spuštění kódu ani krádež dokumentů; týká se obejití pravidel převodu. První oprava 1.1.22.0 pochází podle výrobce už z 6. prosince 2021. Současné doporučení směřuje na nejnovější podporované vydání Media Server 2.0, takže staré číslo opravy nemá sloužit jako cílová verze nového nasazení.

Doporučujeme přednostně prověřit dostupnost administračních rozhraní Barracudy a stav jejich záplat, následně dokončení aktualizací Office a prohlížečů. U provozovatelů komunikačních služeb mají do kontroly vstoupit i BroadWorks a převodní komponenty webmailu. Při podezření na dřívější zneužití je vedle aktualizace nutné řešit změny konfigurace a možné odcizení ověřovacích údajů; samotná instalace opravy následky incidentu neodstraní.