Barracuda: Lücken in Email Security Gateway, WAF und weiteren Appliances ermöglichen Root
Barracuda hat am 2. November 2026 ein Advisory zu zwei Lücken veröffentlicht. Die Befehlsinjektion CVE-2026-111560 steckt in ESG, Load Balancer ADC, Message Archiver, WAF, WAF Control Center und Web Security Gateway, beim ESG kommt CVE-2026-116606 hinzu, beide zusammen führen dort zu Root-Zugriff. Voraussetzung ist Zugang zur Verwaltung.
Barracuda Networks hat am 2. November 2026 ein Advisory zu zwei Lücken in sechs Produktlinien veröffentlicht und Patches bereitgestellt. Auf dem Email Security Gateway führen beide Lücken zusammen zu Root-Zugriff. CVE-2026-116606 betrifft nur das Email Security Gateway (ESG) und erlaubt laut Hersteller das Umgehen von Berechtigungsprüfungen. CVE-2026-111560 ist eine Befehlsinjektion in ESG, Load Balancer ADC, Message Archiver, WAF, WAF Control Center und Web Security Gateway.
Voraussetzung ist laut Barracuda Zugang zur Verwaltungsoberfläche. Wer diese nur aus dem internen Netz erreichbar macht, ist laut Barracuda weniger exponiert. Geräte mit Verwaltung im Internet sollten zeitnah gepatcht werden. Hinweise auf laufende Angriffe nennt der Hersteller nicht.
Was ist passiert?
Barracuda beschreibt im Advisory eine Umgehung der Berechtigungsprüfung vor der Anmeldung und eine Befehlsinjektion. In Kombination könne ein Angreifer die Berechtigungsprüfung umgehen und Root-Rechte auf dem Gerät erlangen. Laut BleepingComputer erlaubt die ESG-Lücke, die globale Konfiguration der Appliance zu ändern, die zweite Lücke lässt Angreifer mit Admin-Rechten Betriebssystembefehle als root ausführen. Barracuda hat die Patches bereitgestellt und rät, Firmware und Sicherheitspatches auf den neuesten Stand zu bringen.
Wer ist betroffen?
Der Hersteller nennt folgende Produkte und Patches: das Email Security Gateway mit BNSF-40425 ab Firmware 9.4.017 und BNSF-40430 für ältere Stände, Load Balancer ADC und Web Application Firewall jeweils mit BNADC-16586, Message Archiver mit BNMA-32468, WAF Control Center mit BNWF-60060 und Web Security Gateway mit BNYF-24789. Nur das ESG ist von beiden Lücken betroffen. Weitere Produkte nennt das Advisory nicht.
Wie kritisch ist das?
Barracuda stuft beide Lücken als „High“ ein, mit CVSS 9.3 für CVE-2026-116606 und 8.6 für CVE-2026-111560. Laut Advisory führt der Angriffsweg über die Verwaltungsoberfläche bis zu Root-Rechten, einen Angriff über eingehende E-Mails beschreibt Barracuda nicht. BleepingComputer spricht trotz der Einstufung von kritischen Lücken. Das Advisory wirkt an einer Stelle widersprüchlich: Die Überschrift spricht von einer Umgehung vor der Anmeldung, die Detailangaben nennen als Voraussetzung jedoch administrativen Zugriff. Gesichert ist damit, dass Angreifer Zugang zur Verwaltungsoberfläche brauchen. Das ESG hat Vorgeschichte: Laut BleepingComputer nutzte die Gruppe UNC4841 dort 2023 die Zero-Days CVE-2023-2868 und CVE-2023-7102 aus, CVE-2023-2868 seit mindestens Oktober 2022 für Spionage.
Was sollten Admins jetzt tun?
- Inventar: alle Barracuda-Appliances der sechs Produktlinien erfassen, auch virtuelle Instanzen.
- Patchstand: in der Oberfläche prüfen, ob der passende Patch installiert ist, und bei abgeschaltetem automatischem Patchen manuell nachziehen.
- Firmware: veraltete Geräte gegebenenfalls in mehreren Schritten aktualisieren, Barracuda weist ausdrücklich darauf hin.
- Erreichbarkeit: die Verwaltungsoberfläche auf vertrauenswürdige interne Netze beschränken.
- Konten: aus unserer Sicht zusätzlich Admin-Konten auf unbekannte Nutzer und die globale Konfiguration des ESG auf unerwartete Änderungen prüfen.
- Automatik: automatisches Patchen aktivieren, wenn es abgeschaltet war.
Einordnung für Unternehmen
E-Mail- und Web-Gateways sitzen an der Grenze zum Internet und sind beliebte Ziele, wie die ESG-Angriffe von 2023 gezeigt haben. Die neuen Lücken sind ohne Zugang zur Verwaltung nicht ausnutzbar, das senkt das Risiko für sauber getrennte Netze. Unklar bleibt nach dem Advisory, ob für die ESG-Lücke tatsächlich ein angemeldeter Admin nötig ist. Bis Barracuda das klärt, ist es sinnvoll, die Verwaltung so zu behandeln, als genüge die bloße Erreichbarkeit.
Passende Anleitungen auf S-EDV
- Zero-Trust-Netzwerksegmentierung im KMU: VLANs, Firewall-Regeln und Mikrosegmentierung mit OPNsense und UniFi
- Cisco Secure Email Gateway: CVE-2026-76519 wird aktiv ausgenutzt, Root per E-Mail-Anhang
