Email Security Gateway（ESG）に、認証不要の認可回避 CVE-2026-116606（High、CVSS 9.3）がある。ログインは要らない。管理画面（Admin UI）へ到達できることが条件。11月5日の更新で、認証要否の表記は「管理アクセスが要る」から「認証不要（管理画面への到達は要る）」に改めた。
コマンド注入 CVE-2026-111560（High、CVSS 8.6）は管理アクセスが要る。対象は ESG、Load Balancer ADC、Message Archiver（BMA）、WAF Control Center（WCC）、Web Application Firewall（WAF）、Web Security Gateway（WSG）。二つを組み合わせると、認可を回避して機器の root を取れる。
| 製品 | CVE-2026-116606 | CVE-2026-111560 | パッチ |
|---|---|---|---|
| ESG | あり | あり | 9.4.017 以上は BNSF-40425、それ未満は BNSF-40430 |
| ADC | なし | あり | BNADC-16586 |
| BMA | なし | あり | BNMA-32468 |
| WCC | なし | あり | BNWF-60060 |
| WAF | なし | あり | BNADC-16586 |
| WSG | なし | あり | BNYF-24789 |
管理画面をインターネットに出さない。自動パッチを止めていれば手動で当てる。複数版遅れのファームウェアは、一度の更新で最新に届かないことがある。未適用なら最新ファームウェアと上記パッチを当てる。