Barracuda: Root-Sicherheitslücke bedroht unter anderem Email Security Gateway

Barracuda Email Security Gateway (ESG), Load Balancer Application Delivery Controller (ADC), Message Archiver (BMA), WAF Control Center (WCC), Web Application Firewall (WAF) und Web Security Gateway (WSG) sind verwundbar. Sicherheitspatches stehen zum Download bereit.

Voraussetzungen für Attacke

Wie aus einer Warnmeldung hervorgeht, haben die Entwickler zwei Sicherheitslücken geschlossen: CVE-2026-116606 (CVSS 9.3, „kritisch“) und CVE-2026-111560 (CVSS 8.6, „hoch“). Angreifer können beide Schwachstellen aber nur ausnutzen, wenn sie Zugriff auf das Admin-Interface der Produkte haben.

Admins sollten deshalb prüfen, ob dieses Interface öffentlich erreichbar ist, und den Zugriff gegebenenfalls auf vertrauenswürdige interne Netze beschränken. Das empfiehlt sich generell für Webinterfaces, um die Angriffsfläche zu verkleinern.

Die Gefahr

Über die erste Lücke (CVE-2026-116606) können Angreifer Autorisierungskontrollen umgehen, über die zweite (CVE-2026-111560) eigene Befehle ausführen. Die erste Lücke betrifft nur ESG, die zweite alle genannten Produkte. Kombinieren Angreifer beide Schwachstellen, können sie sich der Warnmeldung zufolge Root-Rechte verschaffen. Aus so einer Position erlangen Angreifer in der Regel die volle Kontrolle über Geräte.

Die Entwickler versichern, die Sicherheitsprobleme mit den folgenden Patches gelöst zu haben. Normalerweise werden diese automatisch installiert. Admins sollten aber prüfen, ob das geschehen ist, und die Patches andernfalls von Hand einspielen. Wer das automatische Patchen abgeschaltet hat, sollte es laut Barracuda wieder aktivieren. Bei stark veralteter Firmware können mehrere Updates nötig sein. Der Hersteller macht keine Angaben dazu, ob Angreifer die Lücken bereits ausnutzen. Das kann sich aber schnell ändern, deshalb sollten Admins mit der Installation der Sicherheitsupdates nicht zu lange zögern.

ESG: BNSF-40425 (9.4.017+), BNSF-40430 (<9.4.017)

ADC: BNADC-16586

BMA: BNMA-32468

WAF: BNADC-16586

WCC: BNWF-60060

WSG: BNYF-24789

(des)