Barracuda ESG Root-Zugriff: Lücken ausgenutzt

Zwei Barracuda ESG Root-Zugriff-Lücken, die zusammenwirken, werden laut Barracudas eigener Aktualisierung ausgenutzt. Barracuda hat sie Anfang November gepatcht und am 9. November mitgeteilt, dass es Angriffe auf eine kleine Zahl von Organisationen gesehen hat. CISA hat beide am 10. November in den Katalog ausgenutzter Schwachstellen aufgenommen und US-Bundesbehörden eine Frist bis zum 13. November gesetzt.

Was ist passiert bei den Barracuda ESG Root-Zugriff-Lücken

CVE-2026-116606 (CVSS 9.3) ist ein Authentifizierungs-Bypass im Email Security Gateway. Laut Mandiants Advisory, zitiert von SecurityWeek, kann ein Angreifer aus der Ferne die Konfigurations-Importfunktion des Geräts aufrufen, ein präpariertes Backup-Archiv einspielen und die globale Konfiguration ändern. CVE-2026-111560 (CVSS 8.6) ist eine Command Injection in der Zeitzonen-Einstellung, in Code, den ESG, Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall und Web Security Gateway gemeinsam nutzen. Mit Administratorrechten führt sie OS-Befehle als root aus.

Barracudas Advisory sagt, ein Angreifer brauche Zugriff auf die Admin-Oberfläche des Geräts. Zunächst war der Authentifizierungs-Bypass als administratorpflichtig geführt, das wurde am 5. November korrigiert: CVE-2026-116606 braucht keine Anmeldung, nur eine erreichbare Admin-Oberfläche, CVE-2026-111560 dagegen Administratorzugriff. Das ist die Kette: keine Anmeldung für die erste Lücke, root über die zweite. Voraussetzung ist eine Admin-Oberfläche, die von außen erreichbar ist.

Barracuda hat am 2. November Patches veröffentlicht und sein Advisory am 9. November um die Meldung der Ausnutzung ergänzt. Stand 11. November haben weder Barracuda noch CISA Details zu den Angriffen veröffentlicht. Das Sicherheitsunternehmen Previdian meldet 17 Versuche gegen CVE-2026-116606 zwischen dem 9. und 11. November, von 15 IP-Adressen in drei Ländern. Barracudas Patch-IDs lauten BNSF-40425 (ESG-Firmware 9.4.017 und neuer) oder BNSF-40430 (ältere ESG-Firmware), BNADC-16586 für Load Balancer ADC und WAF, BNMA-32468 für Message Archiver, BNWF-60060 für WAF Control Center und BNYF-24789 für Web Security Gateway.

Warum das wichtig ist

Ein E-Mail-Gateway sitzt auf dem Weg aller ein- und ausgehenden Mails. Root auf diesem Gerät bedeutet, dass der Angreifer den Filter kontrolliert, der Sie schützen soll, und mitlesen oder umleiten kann, was durchläuft. Barracuda-Geräte wurden schon früher getroffen: Eine Kampagne von 2023 nutzte monatelang eine ESG-Zero-Day-Lücke (CVE-2023-2868), und Barracuda riet Kunden, kompromittierte Geräte zu ersetzen.

Zwischen Patch und Angriff lag eine Woche. Gefährdet sind Geräte mit abgeschalteten automatischen Updates oder einer aus dem Internet erreichbaren Admin-Oberfläche. Annahme: Viele mittelständische Unternehmen haben das Gateway einmal installiert und nicht mehr angefasst. Für NIS2-pflichtige Organisationen ist ein ausgenutztes, ungepatchtes Mail-Gateway ein Befund, den Sie erklären müssen. Es ist dasselbe Muster wie in unseren Beiträgen zum SonicWall SonicOS MFA Bypass und zu den Zyxel-Switches: Edge-Geräte, die innerhalb weniger Tage nach dem Fix angegriffen werden.

Was Sie jetzt tun sollten

1. Prüfen Sie, ob auf jedem Barracuda ESG, Load Balancer ADC, Message Archiver, jeder WAF, jedem WAF Control Center und Web Security Gateway der November-Patch installiert ist. Schalten Sie automatische Updates wieder ein, falls sie aus waren. Ein Gerät mit mehreren Firmware-Ständen Rückstand braucht womöglich mehr als ein Update; der Barracuda-Support hilft dabei.
2. Testen Sie von außerhalb Ihres Netzes, ob die Admin-Oberfläche antwortet. Falls ja, beschränken Sie sie noch heute auf ein Management-Netz oder VPN.
3. Prüfen Sie die Geräte auf Änderungen, die niemand vorgenommen hat: eingespieltes Backup oder Konfigurationsimport in den Logs, neue Admin-Konten, ein ungewöhnlicher Zeitzonenwert, neue ausgehende Verbindungen. Annahme: Das Zeitzonenfeld ist ein naheliegender Prüfpunkt, weil dort die Command Injection sitzt.
4. Bei Hinweisen auf eine Kompromittierung behandeln Sie das Gerät als nicht vertrauenswürdig: Binden Sie den Barracuda-Support ein und rotieren Sie alle darauf gespeicherten Zugangsdaten, etwa Verzeichnisdienst-Konten und API-Schlüssel.

DIESEC Einschätzung

Die CVSS-Werte wirken mittel bis hoch, nicht katastrophal, weil jede Lücke Voraussetzungen hat. Genau diese Voraussetzungen sind in vielen Umgebungen die Schwachstelle: eine Admin-Oberfläche, die nie abgeschottet wurde, und automatische Updates, die vor Jahren jemand abgeschaltet hat. Die Lösung ist also ein Patch plus eine Prüfung der Erreichbarkeit.

Nicht sicher, ob die Admin-Oberfläche Ihres Mail-Gateways von außen erreichbar ist? Kontaktieren Sie DIESEC für eine Expositions-Analyse und Patch-Verifizierung Ihrer Edge-Geräte.

Quellen: Barracuda | CISA | SecurityWeek | heise | BleepingComputer | SecurityWeek (Patch-Veröffentlichung)
Veröffentlicht: 2026-11-12 | Kategorie: Tägliche News | ~4 Min. Lesezeit