Barracudaが提供する「Email Security Gatewayアプライアンス（ESG）」に脆弱性が明らかとなった。すでに悪用も確認されている。
受信したメールの添付ファイルをスクリーニングするモジュールに、リモートコマンドインジェクションの脆弱性「CVE-2023-2868」が明らかとなったもの。
tar形式のファイルにおける取り扱いに問題があり、細工された添付ファイルを処理する過程でリモートよりシステムコマンドを実行されるおそれがある。
CVE番号を採番したGoogleでは、共通脆弱性評価システム「CVSSv3.1」において同脆弱性のベーススコアを「9.4」、重要度を「クリティカル（Critical）」とレーティングしている。
Barracudaでは、現地時間5月19日に脆弱性を把握し、5月20日に顧客向けに配信したパッチ「BNSF-36456」にて修正。さらに翌21日に封じ込め対策として2度目のパッチを展開したという。
「CVE-2023-2868」の影響を受けた顧客に対しては、同製品のユーザインターフェイスを通じ、実施すべき措置について通知しており、対応するよう求めた。
なお、Barracudaが提供するメールセキュリティのSaaSサービスや他製品については、同脆弱性の影響は受けないとしている。
米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）では、同脆弱性の積極的な悪用が確認されているとして、現地時間5月26日に「悪用が確認された脆弱性カタログ（KEV）」へ同脆弱性を追加した。
米行政機関では、一定期間内に同脆弱性へ対応する義務がある。また脆弱性そのものは広く悪用されるおそれがあるため、CISAでは対象機関に限らず、すべての組織に対して注意を呼びかけている。