Zwei Schwachstellen im Email Security Gateway von Barracuda könnten Angreifern durch die Kombination einer Autorisierungsumgehung mit einer Befehlsinjektion die Kontrolle über betroffene Appliances mit Root-Rechten geben.
Barracuda Networks hat am 2. November 2026 Sicherheitspatches für CVE-2026-116606 und CVE-2026-111560 veröffentlicht. Sechs Produktfamilien sind betroffen, doch nur das Email Security Gateway (ESG) ist für beide Schwachstellen anfällig. Dadurch entsteht ein potenzieller Angriffspfad von unbefugten Konfigurationsänderungen bis zur Ausführung privilegierter Befehle.
In seiner Sicherheitswarnung erklärte Barracuda, dass für eine Ausnutzung Netzwerkzugriff auf die Administrationsoberfläche einer betroffenen Appliance erforderlich ist. Das Unternehmen empfiehlt, den Managementzugriff einzuschränken und zu überprüfen, ob die entsprechenden Sicherheitspatches installiert sind.
Wie die Barracuda-Schwachstellen zu Root-Zugriff führen könnten
CVE-2026-116606 ist eine Autorisierungsumgehung vor der Authentifizierung, die ESG betrifft. Ein nicht authentifizierter Angreifer aus der Ferne könnte über eine Funktion zum Importieren von Konfigurationen ein manipuliertes, kompatibles Backup-Archiv wiederherstellen und dadurch die globalen Einstellungen der Appliance unbefugt ändern. Die Schwachstelle hat laut technischer Veröffentlichung von Mandiant einen kritischen CVSS-v4.0-Wert von 9,3.
CVE-2026-111560 ist eine Schwachstelle durch Befehlsinjektion, die auf eine unsachgemäße Verarbeitung von Shell-Metazeichen im Feld für die Zeitzonenkonfiguration zurückgeht. Ein authentifizierter Administrator könnte Befehle einschleusen, die bei der Verarbeitung des geänderten Werts mit Root-Rechten ausgeführt werden. Mandiants separate Veröffentlichung stuft die Schwachstelle mit einem hohen CVSS-v4.0-Wert von 8,6 ein.
Durch eine Verkettung der Schwachstellen könnten Angreifer die Kontrolle über ESG mit Root-Rechten erlangen. Unabhängig davon haben Angriffe auf die Managementinfrastruktur von Cisco-Firewalls gezeigt, wie kompromittierte Systeme zur Sicherheitsverwaltung Zugangsdaten und interne Netzwerke offenlegen können. Bis zum 5. November 2026 war keine der beiden Barracuda-Schwachstellen mit öffentlich bestätigten Angriffen in Verbindung gebracht worden.
Betroffene Barracuda-Produkte und Sicherheitspatches
Die Autorisierungsumgehung betrifft ausschließlich ESG. Die Schwachstelle durch Befehlsinjektion betrifft fünf weitere Produktfamilien, bei denen eine Ausnutzung unabhängig davon Administratorrechte erfordert.
Barracuda hat folgende Patches veröffentlicht:
| Betroffenes Produkt | Sicherheitspatch |
|---|---|
| Email Security Gateway | BNSF-40425 oder BNSF-40430 |
| Load Balancer ADC | BNADC-16586 |
| Message Archiver | BNMA-32468 |
| WAF Control Center | BNWF-60060 |
| Web Application Firewall | BNADC-16586 |
| Web Security Gateway | BNYF-24789 |
Barracudas Dokumentation zu ESG-Updates nennt Firmware 9.4.0.029 oder höher als gepatcht, während Mandiant Versionen vor 9.4.0.030 als anfällig aufführt. Administratoren sollten bestätigen, dass die entsprechenden Sicherheitspatches installiert sind, und den Barracuda-Support kontaktieren, falls die widersprüchlichen Versionsangaben den Schutzstatus ihrer Geräte unklar lassen.
Die Priorisierung von Schwachstellen nach Ausnutzbarkeit und Angriffsfläche kann dabei helfen, die Appliances zu identifizieren, die sofortige Aufmerksamkeit erfordern. Sicherheitsteams sollten:
- Sicherheitspatches überprüfen: Installation bestätigen und, sofern sinnvoll, automatische Updates aktivieren. Bei älterer Firmware können sequenzielle Upgrades erforderlich sein.
- Managementzugriff einschränken: Administrationsoberflächen vom öffentlichen Internet fernhalten, Managementnetzwerke segmentieren und den Zugriff auf vertrauenswürdige Systeme beschränken.
- Administrationskontrollen stärken: Berechtigungen nach dem Prinzip der geringsten Privilegien durchsetzen und, sofern unterstützt, Multifaktor-Authentifizierung verwenden. MFA verhindert die Authentifizierungsumgehung nicht.
- Auf verdächtige Aktivitäten achten: Ungewöhnliche Konfigurationsimporte, Backup-Wiederherstellungen, Zeitzonenänderungen, unbekannte Konten und unerwartete ausgehende Verbindungen untersuchen.
- Integrität der Konfiguration überprüfen: Einstellungen mit bekannten fehlerfreien Baselines vergleichen und sichere Konfigurationsbackups vorhalten.
- Reaktionspläne für Sicherheitsvorfälle testen: Protokolle sichern und die Verfahren zur Untersuchung, Isolierung und Wiederherstellung potenziell kompromittierter Appliances überprüfen.
Frühere Angriffe, bei denen WAF-Schutzmaßnahmen umgangen und ungepatchte Unternehmenssoftware ausgenutzt wurden zeigen die Grenzen von Netzwerkabwehrmaßnahmen. Barracuda-Kunden sollten die Installation der Patches bestätigen und den Managementzugriff einschränken, um ihre Angriffsfläche gegenüber der offengelegten Angriffskette zu verringern.
Mehr dazu: Ein ausgenutzter Zero-Day im Management-Server von Check Point zeigt, wie Schwachstellen in der Infrastruktur zur Sicherheitsverwaltung Unternehmen der unbefugten Codeausführung aussetzen können.