Barracuda Email Security Gateway: Root-Lücken werden jetzt aktiv ausgenutzt

Barracuda meldet Angriffe auf zwei Lücken, die das Unternehmen am 2. November 2026 geschlossen hatte. In einer Aktualisierung seines Advisories vom 9. November, 21 Uhr Ostküstenzeit (10. November, 3 Uhr deutscher Zeit), schreibt der Hersteller, er habe Ausnutzung bei einer kleinen Zahl von Organisationen festgestellt. Kombiniert können CVE-2026-116606 und CVE-2026-111560 zu Root-Rechten auf der Appliance führen.

Betroffen ist vor allem das Email Security Gateway (ESG), denn nur dort stecken beide Lücken. Die Befehlsinjektion CVE-2026-111560 betrifft zusätzlich Load Balancer ADC, Message Archiver, WAF, WAF Control Center und Web Security Gateway. Wer die Patches nicht automatisch erhalten hat oder die Verwaltungsoberfläche aus dem Internet erreichbar betreibt, sollte heute prüfen und nicht bis zum nächsten Wartungsfenster warten.

Was ist passiert?

Die Patches für beide Lücken liegen seit dem 2. November vor, damals meldete Barracuda noch keine Angriffe. Neu ist die bestätigte Ausnutzung. Das Advisory nennt keine Angreifergruppe, keine Zahl der Opfer und keine Merkmale, an denen sich ein Angriff erkennen ließe. Fragen von The Register nach der Zahl der betroffenen Organisationen beantwortete Barracuda nicht, ein Sprecher sagte nur, man habe direkt mit den Betroffenen zusammengearbeitet.

Schon am 5. November hatte Barracuda eine Angabe korrigiert: CVE-2026-116606 setzt keine Anmeldung voraus, der Angreifer muss nur die Verwaltungsoberfläche erreichen. Zuvor hatte das Advisory Administratorzugang als Bedingung genannt. Die Lücke umgeht die Autorisierung und erlaubt laut BleepingComputer, die globale Konfiguration des Gateways zu ändern. CVE-2026-111560 ist laut BleepingComputer eine Befehlsinjektion, deren Befehle mit Root-Rechten laufen. Barracuda selbst nennt für diese Lücke Administratorzugang als Voraussetzung.

Wer ist betroffen?

• Email Security Gateway: beide Lücken, Patch BNSF-40425 für Firmware ab 9.4.017, BNSF-40430 für ältere Stände.
• Load Balancer ADC und Web Application Firewall: CVE-2026-111560, Patch BNADC-16586.
• Message Archiver: CVE-2026-111560, Patch BNMA-32468.
• WAF Control Center: CVE-2026-111560, Patch BNWF-60060.
• Web Security Gateway: CVE-2026-111560, Patch BNYF-24789.

Weniger gefährdet sind laut Barracuda Organisationen, deren Verwaltungsoberflächen nicht aus dem Internet erreichbar sind.

Wie kritisch ist das?

Barracuda bewertet CVE-2026-116606 mit CVSS 9.3 und CVE-2026-111560 mit CVSS 8.6, beide als „High“. Der mögliche Angriffsweg führt über die Admin-Oberfläche: Erst die Umgehung der Autorisierung, dann die Befehlsinjektion mit Root-Rechten. Mit Root-Rechten könnten Angreifer laut The Register Daten stehlen, Hintertüren installieren und das Gerät vollständig übernehmen. Frühere ESG-Lücken nutzte die Spionagegruppe UNC4841 laut BleepingComputer als Zero-Days aus, eine davon mindestens sieben Monate lang vor dem Patch im Jahr 2023. Wer hinter den aktuellen Angriffen steckt und ob die Angreifer tatsächlich Root-Rechte erlangt haben, ist laut The Register offen.

Was sollten Admins jetzt tun?

• Inventar: alle Barracuda-Appliances und ihre Firmware-Stände erfassen. Das Gerät zeigt laut Barracuda die neueste verfügbare Firmware an, bei stark veralteten Ständen können mehrere Updates nötig sein.
• Patchstand: prüfen, ob der passende Patch aus der Liste installiert ist, sonst sofort manuell einspielen. Wer automatische Patches abgeschaltet hat, sollte sie laut Barracuda wieder einschalten.
• Erreichbarkeit: Die Verwaltungsoberfläche auf vertrauenswürdige interne Netze beschränken und per Firewall oder Zugriffsliste absichern.
• Spuren: Da Barracuda keine Erkennungsmerkmale veröffentlicht hat, Konfigurationsänderungen, Admin-Anmeldungen und Weiterleitungsregeln seit dem 2. November auf Unbekanntes prüfen und bei Verdacht den Barracuda-Support einschalten.

Einordnung für Unternehmen

Die Lage hat sich innerhalb einer Woche von „Patch verfügbar“ zu „wird angegriffen“ gedreht. Wer Barracuda-Geräte mit automatischen Updates betreibt, ist vermutlich schon geschützt. Ein Gerät, das vor dem Patch angegriffen wurde, kann aber trotz Patch kompromittiert sein. Gefährdet sind vor allem Installationen, bei denen Updates abgeschaltet wurden und die Admin-Oberfläche offen im Netz hängt.

Passende Anleitungen auf S-EDV

• Barracuda: Lücken in Email Security Gateway, WAF und weiteren Appliances ermöglichen Root
• Cisco Secure Email Gateway: CVE-2026-76519 wird aktiv ausgenutzt, Root per E-Mail-Anhang

Quellen

• Barracuda: Advisory zu CVE-2026-116606 und CVE-2026-111560
• BleepingComputer: Angriffe auf Barracuda ESG
• The Register: Bericht zu den Angriffen