Das Unternehmen Barracuda hat am 2. November 2026 einen Sicherheitshinweis veröffentlicht, in dem zwei Schwachstellen in seinen Produkten beschrieben werden: ein Bypass der Autorisierung vor der Authentifizierung (CVE-2026-116606, CVSS 9.3) und eine command injection (CVE-2026-111560, CVSS 8.6). Bei verketteter Ausnutzung kann ein Angreifer mit Netzwerkzugang zum Administrationsinterface des Geräts die Autorisierungskontrolle umgehen und Root-Zugriff erlangen. Die vollständige Kette betrifft ausschließlich das Barracuda Email Security Gateway – das einzige Produkt, das gleichzeitig für beide Schwachstellen anfällig ist. Patches sind bereits verfügbar, und die zentrale Maßnahme zur Risikoreduzierung besteht darin, den Zugriff auf das Administrationsinterface zu beschränken.
Technische Details der Schwachstellen
CVE-2026-116606 ist eine Schwachstelle für einen Bypass der Autorisierung vor der Authentifizierung, die nur Barracuda Email Security Gateway betrifft. Laut der Offenlegung von Mandiant ist die Schwachstelle als CWE-288 (Umgehung der Authentifizierung über einen alternativen Pfad oder Kanal) klassifiziert. Nach Angaben von Mandiant kann ein nicht authentifizierter, entfernter Angreifer die Funktion zum Konfigurationsimport aufrufen und ein speziell präpariertes Backup-Archiv wiederherstellen, was zu einer unautorisierten Änderung der globalen Gerätekonfiguration führt. Eine Authentifizierung ist nicht erforderlich – ausreichend ist die Netzwerk-Erreichbarkeit des Administrationsinterfaces.
CVE-2026-111560 ist eine command-injection-Schwachstelle, die einen deutlich breiteren Kreis von Barracuda-Produkten betrifft:
- Email Security Gateway (ESG)
- Load Balancer Application Delivery Controller (ADC)
- Message Archiver (BMA)
- WAF Control Center (WCC)
- Web Application Firewall (WAF)
- Web Security Gateway (WSG)
Für die Ausnutzung von CVE-2026-111560 ist administrativer Zugriff auf das Gerät erforderlich. Genau deshalb ist die Kette aus beiden Schwachstellen kritisch gefährlich: CVE-2026-116606 ermöglicht es, die Authentifizierung auf ESG zu umgehen, wonach CVE-2026-111560 genutzt wird, um beliebige Befehle mit Root-Rechten auszuführen. Für die übrigen fünf Produkte lässt sich CVE-2026-111560 nur ausnutzen, wenn legitime administrative Zugangsdaten vorliegen, was das praktische Risiko erheblich reduziert.
Abweichungen bei den Angaben zu betroffenen Versionen
Ein wichtiger Punkt, auf den Administratoren achten sollten: Die Angaben zu den Grenzen der betroffenen ESG-Versionen weichen zwischen den Quellen voneinander ab. Barracuda verwendet in seiner Patch-Tabelle die Version 9.4.017 als Trennlinie für die Verteilung der Updates – Systeme mit Version 9.4.017 und höher erhalten den Patch BNSF-40425, Systeme unterhalb von 9.4.017 den Patch BNSF-40430. Mandiant gibt hingegen an, dass CVE-2026-116606 ESG-Versionen vor 9.4.0.030 betrifft. Die verfügbaren Quellen erlauben keine eindeutige Abstimmung dieser beiden Schwellenwerte. Administratoren sollten sich an die Empfehlungen von Barracuda zum konkreten Patch für ihre jeweilige Firmware-Version halten und sich nicht auf eine einzelne numerische Grenze verlassen.
Status der Ausnutzung
Zum Zeitpunkt der Veröffentlichung ist keine der Schwachstellen im CISA-Katalog der Known Exploited Vulnerabilities aufgeführt. Die ausgewerteten Quellen enthalten keine Hinweise auf eine aktive Ausnutzung, keine Zuordnung zu bestimmten Gruppen, keine Angaben zu Opfern und keine Indikatoren für eine Kompromittierung.
Gleichzeitig ist im öffentlichen watchTowr-Repository ein Artefakt zur Überprüfung der Schwachstellen-Kette auf ESG verfügbar, das eine Demonstration der Befehlsausführung (Anlegen der Datei /tmp/test) enthält. Das Vorhandensein eines öffentlichen Validierungstools bedeutet, dass die technische Möglichkeit zur Reproduktion des Angriffs einem breiten Personenkreis zur Verfügung steht, was die Wahrscheinlichkeit realer Angriffe in naher Zukunft erhöht. Allein die Existenz eines solchen Tools ist jedoch kein Beleg für eine Ausnutzung unter realen Bedingungen.
Bewertung der Auswirkungen
Am stärksten gefährdet sind Organisationen, deren Barracuda-ESG-Geräte ein aus dem Internet erreichbares Administrationsinterface besitzen. Für solche Systeme stellt die Kette CVE-2026-116606 → CVE-2026-111560 einen direkten Weg zur vollständigen Kompromittierung des Geräts dar, ohne dass eine Authentifizierung erforderlich wäre. Da ESG den gesamten ein- und ausgehenden E-Mail-Verkehr der Organisation verarbeitet, kann eine Kompromittierung des Geräts zum Abfangen der Unternehmenskommunikation, zum Einschleusen schädlicher Inhalte in den E-Mail-Verkehr und zur Nutzung des Geräts als Ausgangspunkt für ein weiteres Vordringen ins Netzwerk führen.
Für die übrigen fünf betroffenen Produkte (ADC, BMA, WCC, WAF, WSG) ist das Risiko auf ein Szenario einer command injection bei vorhandenem administrativem Zugriff beschränkt – eine ernste, aber bei Einhaltung grundlegender Verfahren der Zugriffskontrolle weniger wahrscheinliche Bedrohung.
Empfehlungen
Erste Priorität – Barracuda ESG mit aus dem Internet erreichbarem Administrationsinterface:
- Beschränken Sie umgehend den Zugriff auf das Administrationsinterface von ESG, sodass Verbindungen nur aus vertrauenswürdigen internen Netzwerken erlaubt sind.
- Prüfen Sie die aktuelle Firmware-Version und bestimmen Sie den passenden Patch: BNSF-40425 für Systeme mit Version 9.4.017 und höher, BNSF-40430 für Systeme unterhalb von 9.4.017.
- Wenden Sie den Patch manuell an, wenn das automatische Update nicht abgeschlossen wurde. Barracuda weist darauf hin, dass bei deutlich veralteter Firmware-Version mehrere aufeinanderfolgende Updates erforderlich sein können.
- Aktivieren Sie den automatischen Erhalt von Patches, falls diese Funktion deaktiviert war.
Für die übrigen betroffenen Produkte sollten die jeweiligen Patches eingespielt werden: BNADC-16586 für ADC und WAF, BNMA-32468 für Message Archiver, BNWF-60060 für WAF Control Center, BNYF-24789 für Web Security Gateway.
Organisationen, die Barracuda ESG einsetzen, sollten dieses Schwachstellen-Paar als Problem betrachten, das ein sofortiges Handeln erfordert: Die Kombination aus einem CVSS-Score von 9.3 für den Bypass der Authentifizierung, einem öffentlich verfügbaren Validierungstool und der kritischen Rolle des E-Mail-Gateways in der Infrastruktur lässt keinen Spielraum für Aufschub beim Update. Die vorrangige Maßnahme besteht darin, sicherzustellen, dass das ESG-Administrationsinterface nicht aus dem Internet erreichbar ist, und den entsprechenden Patch von Barracuda einzuspielen.
