Top-Secured Cyber-Monitoring: unabhängige Analyse auf Grundlage der unten genannten Quellen. Top-Secured ist mit den genannten Unternehmen nicht verbunden und wird Sie niemals nach Bankdaten oder Passwörtern fragen.
Barracuda meldet die Ausnutzung zweier Lücken, die zusammen Root-Zugriff auf seine Email Security Gateways ermöglichen. Eine davon betrifft auch WAF, Load Balancer, Archivierungs- und Web-Gateways. Die CISA nahm beide am 10. November in ihren Katalog ausgenutzter Schwachstellen auf.
Was passiert ist
Am 2. November 2026 veröffentlichte Barracuda eine Sicherheitsmeldung zu zwei Schwachstellen, die Mandiant am selben Tag offenlegte. Am Abend des 9. November ergänzte der Hersteller sie: Er hat Ausnutzung bei einer kleinen Zahl von Organisationen festgestellt. Am Tag darauf nahm die CISA beide Lücken in ihren KEV-Katalog auf, mit Frist 13. November für US-Bundesbehörden.
- CVE-2026-116606 (CVSS 9.3), nur Email Security Gateway (ESG): Ohne Anmeldung kann ein Angreifer, der die Verwaltungsoberfläche erreicht, die Konfigurationsimport-Funktion aufrufen und ein präpariertes Backup einspielen, das die Einstellungen des Geräts überschreibt.
- CVE-2026-111560 (CVSS 8.6): Ein Administrator kann über das Zeitzonen-Feld Systembefehle einschleusen, die als root laufen. Betroffen sind ESG, Load Balancer ADC, Web Application Firewall, Message Archiver, Web Security Gateway und WAF Control Center.
Wer gefährdet ist
Verkettet führen die beiden Lücken laut Barracuda von keinem Konto bis zu Root-Rechten auf dem Gerät. Am stärksten gefährdet sind Geräte, deren Verwaltungsoberfläche aus dem Internet erreichbar ist. Laut Mandiant sind unter anderem ESG bis 9.4.0.27, ADC bis 6.4.0, WAF bis 11.0.1, Message Archiver bis 5.5.4.0, Web Security Gateway bis 16.1.100.100 und WAF Control Center bis 2.2.1 betroffen.
Was jetzt zu tun ist
- Prüfen Sie den Patch-Stand in der Oberfläche jedes Geräts: Barracuda spielt diese Patches normalerweise automatisch ein (beim ESG je nach Firmware BNSF-40425 oder BNSF-40430). Fehlt er, installieren Sie ihn manuell und aktivieren Sie das automatische Patchen wieder.
- Bringen Sie alte Firmware auf Stand: Ein Gerät, das mehrere Versionen zurückliegt, braucht unter Umständen mehrere Updates nacheinander.
- Schließen Sie die Verwaltungsoberfläche für das Internet: nur interne Netze oder VPN, und prüfen Sie von außen, dass die Seite nicht mehr antwortet.
- Suchen Sie nach Spuren: unerwartete Konfigurationsänderungen oder Wiederherstellungen, seltsame Zeitzonen-Werte, unbekannte Administratorkonten.
- Im Zweifel den Barracuda-Support kontaktieren und alle auf dem Gerät gespeicherten Zugangsdaten ändern (Verzeichniskonten, Mail-Relays, Zertifikate).
Unsere Einschätzung
Eine Sicherheits-Appliance ist ein Server, dessen Verwaltungsseite nicht ins Internet gehört. Automatisches Patchen ist ein echter Vorteil, wenn jemand prüft, dass es auch gelaufen ist. Ein Mail-Gateway sieht Ihre gesamte Post: Behandeln Sie es wie einen kritischen Server.
Quellen
- Barracuda — Pre-Authentication Authorization Bypass and Command Injection Vulnerabilities in Certain Barracuda Products
- CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-116606 (Barracuda ESG)
- Mandiant — MNDT-2026-0042: Barracuda ESG authentication bypass (CVE-2026-116606)
- Mandiant — MNDT-2026-0041: Barracuda command injection (CVE-2026-111560)
Wie wir unsere Analysen auswählen, prüfen und schreiben →
Ist Ihr eigener Server angreifbar? Machen Sie einen kostenlosen Test — nur öffentliche Informationen, ohne Eindringen:
Sorgen, dass Ihre Server angreifbar sind? Unser Team prüft, patcht und überwacht Linux- und Cloud-Infrastrukturen rund um die Uhr.
Mit einem Experten sprechen Unsere Managed Server Services →
