Έξι ευπάθειες που ήδη αξιοποιούνται σε επιθέσεις πρόσθεσε την Τρίτη 10 Νοεμβρίου 2026 η αμερικανική Υπηρεσία Κυβερνοασφάλειας και Ασφάλειας Υποδομών (CISA) στον κατάλογο των Γνωστών Εκμεταλλευόμενων Ευπαθειών (KEV). Οι δύο αφορούν προϊόντα της Barracuda Networks και έχουν προθεσμία διόρθωσης μόλις τρεις ημέρες, έως την Παρασκευή 13 Νοεμβρίου. Οι άλλες τέσσερις, στο Chromium της Google, στο Outlook της Microsoft, στο Cisco BroadWorks και στο Webtop Media Transcoder της Openwave, έχουν προθεσμία έως την Τρίτη 24 Νοεμβρίου.
Η προθεσμία δεσμεύει μόνο τις μη στρατιωτικές ομοσπονδιακές υπηρεσίες της εκτελεστικής εξουσίας των ΗΠΑ (FCEB), στο πλαίσιο της οδηγίας BOD 26-04 για την προτεραιοποίηση των ενημερώσεων ασφαλείας με βάση τον κίνδυνο. Στις δύο εγγραφές της Barracuda ο κατάλογος ζητά επιπλέον διαγνωστικό έλεγχο (forensic triage), δηλαδή εξέταση των συσκευών για ίχνη παραβίασης. Και στις έξι εγγραφές η χρήση σε επιθέσεις ransomware καταγράφεται ως άγνωστη.
Η πιο επείγουσα περίπτωση είναι ένα ζεύγος ευπαθειών που συνδυάζονται σε μία αλυσίδα επίθεσης. Η CVE-2026-116606 αφορά το Barracuda Email Security Gateway (ESG), τη συσκευή προστασίας του ηλεκτρονικού ταχυδρομείου. Πρόκειται για παράκαμψη ταυτοποίησης: επιτιθέμενος χωρίς λογαριασμό μπορεί να καλέσει τη λειτουργία εισαγωγής ρυθμίσεων, να επαναφέρει ένα προσεκτικά κατασκευασμένο αρχείο αντιγράφου ασφαλείας και να αλλάξει χωρίς εξουσιοδότηση τις γενικές ρυθμίσεις της συσκευής. Η Barracuda τη βαθμολογεί με 9,3 στα 10 και διευκρινίζει ότι η επίθεση δεν απαιτεί ταυτοποίηση, προϋποθέτει όμως πρόσβαση στη διεπαφή διαχείρισης της συσκευής.
Η δεύτερη, η CVE-2026-111560, είναι ένεση εντολών λειτουργικού συστήματος μέσω του πεδίου της ζώνης ώρας. Ένας επιτιθέμενος με δικαιώματα διαχειριστή μπορεί να εισαγάγει εντολές που εκτελούνται με δικαιώματα root, δηλαδή πλήρους ελέγχου, όταν η κακόβουλη τιμή υποστεί αργότερα επεξεργασία. Βαθμολογείται με 8,6 και, εκτός από το ESG, αφορά πέντε ακόμη προϊόντα της εταιρείας: Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall και Web Security Gateway. Αν αξιοποιηθούν μαζί, δίνουν στον επιτιθέμενο πρόσβαση root στη συσκευή.
Οι δύο ευπάθειες δημοσιοποιήθηκαν στις 2 Νοεμβρίου και η Barracuda έχει διαθέσει ξεχωριστό πακέτο διόρθωσης για κάθε προϊόν (για το ESG τα BNSF-40425 και BNSF-40430, ανάλογα με την έκδοση). Τη Δευτέρα 9 Νοεμβρίου η εταιρεία πρόσθεσε στην ανακοίνωσή της ότι έχει εντοπίσει δραστηριότητα εκμετάλλευσης που επηρεάζει μικρό αριθμό οργανισμών. Συστήνει να περιοριστεί η πρόσβαση στις διεπαφές διαχείρισης σε αξιόπιστα εσωτερικά δίκτυα.
Στο Chromium, τη βάση των προγραμμάτων περιήγησης Chrome, Edge και Opera, η CVE-2026-125350 είναι σφάλμα χρήσης μνήμης μετά την αποδέσμευσή της (use-after-free) στο στοιχείο XML. Μια ειδικά διαμορφωμένη ιστοσελίδα μπορεί να οδηγήσει σε εκτέλεση κώδικα μέσα στο προστατευτικό περιβάλλον (sandbox) του προγράμματος. Η Google ανακοίνωσε ότι γνωρίζει την ύπαρξη exploit που χρησιμοποιείται σε πραγματικές επιθέσεις. Η διόρθωση βρίσκεται στην έκδοση 157.0.8103.50 για Linux και 157.0.8103.50/.51 για Windows και Mac. Κυκλοφόρησε τη Δευτέρα 9 Νοεμβρίου μαζί με άλλες οκτώ διορθώσεις.
Στο Outlook, η CVE-2026-124194 είναι ευπάθεια πλαστοπροσωπίας (spoofing) με βαθμολογία 6,5, που η Microsoft κατέγραψε ως ήδη αξιοποιούμενη στο δελτίο της 10ης Νοεμβρίου. Ο επιτιθέμενος στέλνει ένα κατασκευασμένο αρχείο μηνύματος και πείθει τον χρήστη να το ανοίξει. Το Outlook τότε συνδέεται σε θέση δικτύου που ελέγχει ο επιτιθέμενος χωρίς τη συνήθη προειδοποίηση για εξωτερικό περιεχόμενο, με κίνδυνο να διαρρεύσει το hash NTLMv2 του χρήστη, με το οποίο ο επιτιθέμενος μπορεί να ταυτοποιηθεί ως εκείνος.
Οι δύο υπόλοιπες εγγραφές έχουν χαμηλότερο προφίλ. Η CVE-2026-20320 του Cisco BroadWorks, της πλατφόρμας επικοινωνιών για παρόχους τηλεφωνίας, είναι ευπάθεια XXE (εξωτερικής οντότητας XML) στην υπηρεσία OCI-P: ένας απομακρυσμένος επιτιθέμενος χωρίς ταυτοποίηση μπορεί με ένα κατασκευασμένο μήνυμα XML να διαβάσει αρχεία με ευαίσθητες ρυθμίσεις. Η Cisco την είχε δημοσιοποιήσει στις 19 Αυγούστου και η διόρθωση έρχεται με την έκδοση RI.2026.07. Η CVE-2026-111793 του Openwave Webtop Media Transcoder επιτρέπει σε ταυτοποιημένο χρήστη που παρακάμπτει το περιβάλλον του Webmail να επεξεργαστεί και να μετατρέψει τύπους εγγράφων που δεν προβλέπονται. Η βαθμολογία της είναι 4,3 και η λύση είναι η αναβάθμιση στην τελευταία υποστηριζόμενη έκδοση του Media Server 2.0.
Οι έξι ευπάθειες ακολουθούν τις προσθήκες OpenSSH, GPUStack και FreeSWITCH της προηγούμενης ημέρας. Οι τελευταίες εβδομάδες έχουν φέρει στον κατάλογο και τις ευπάθειες της Apple και του SonicWall SonicOS SSLVPN, καθώς και του Ivanti Connect Secure.
