Barracuda-Lücken werden bereits für Angriffe genutzt

Barracuda bestätigt Angriffe auf eine kleine Zahl von Organisationen im Zusammenhang mit zwei Schwachstellen in mehreren seiner Produkte. Von beiden Lücken betroffen ist nur das Email Security Gateway: Kombiniert können sie Angreifern Root-Zugriff verschaffen, also die höchsten Rechte auf dem Gerät. Der Hersteller empfiehlt, fehlende Sicherheitspatches umgehend manuell einzuspielen.

Verwandt: Oracle stopft 1.209 Lücken mit 112 kritischen Patches

Angriffe auf wenige Organisationen

Barracuda hat im jüngsten Statusupdate vom 9. November Angriffe auf eine „kleine Zahl von Organisationen“ bestätigt. Welche Produkte angegriffen wurden, nennt der Hersteller nicht. Als einziges Produkt ist das Email Security Gateway von beiden Schwachstellen betroffen, die Barracuda in seinem Sicherheitshinweis beschreibt. Das Gerät filtert den E-Mail-Verkehr von Unternehmen, bevor Nachrichten die Postfächer erreichen.

Erfolgreiche Angriffe setzen eine erreichbare Administrationsoberfläche voraus. Gemeint ist die Verwaltungsoberfläche, über die Administratoren das jeweilige Gerät konfigurieren. Für Sicherheitsteams rückt damit ein Bereich in den Blick, der im Alltag selten Aufmerksamkeit bekommt.

Zwei Schwachstellen im Zusammenspiel

Die beiden Lücken tragen die Kennungen CVE-2026-116606 und CVE-2026-111560. CVE steht für Common Vulnerabilities and Exposures. Das öffentliche Verzeichnis weist jeder bekannten Schwachstelle eine eindeutige Nummer zu.

CVE-2026-111560 setzt für sich genommen administrativen Zugang voraus. Ein Angreifer bräuchte also bereits Verwaltungsrechte am Gerät. CVE-2026-116606 erfordert dagegen keine Authentifizierung, das heißt keine Anmeldung mit gültigen Zugangsdaten. Barracuda hat diese Angabe am 5. November in einer Korrektur seines Hinweises festgehalten.

Kombiniert erlauben beide Schwachstellen, Autorisierungskontrollen zu umgehen. Solche Kontrollen prüfen, ob ein Nutzer eine bestimmte Aktion ausführen darf. Potenziell erlangen Angreifer auf diesem Weg Root-Zugriff. Root ist das Konto mit uneingeschränkter Kontrolle über das Betriebssystem eines Geräts.

Befehlsinjektion bei der Wiederherstellung

Die Sicherheitsforscher von watchTowr Labs haben die Schwachstellen technisch untersucht. Dafür verglich das Team die verwundbare Gateway-Version 9.4.0.027 mit Version 9.4.0.029. Ein solcher Versionsvergleich, in der Fachsprache Patch-Diffing, zeigt die Stellen, an denen ein Hersteller seinen Code verändert hat.

Im Fokus der Analyse steht eine Befehlsinjektion. Sie verarbeitet einen manipulierten Zeitzonenwert während der Wiederherstellung einer Sicherung. Das Gateway führt die eingeschleusten Befehle anschließend als Root aus. Eine gewöhnliche Konfigurationsangabe wird so zum Träger für Systembefehle mit den höchsten Rechten.

Neben der Analyse stellte watchTowr Labs ein eigenes Prüfwerkzeug bereit. Es richtet sich an Betreiber, die ihre Geräte selbst untersuchen wollen.

Weitere Produkte und Patches

CVE-2026-111560 reicht über das Email Security Gateway hinaus. Die Schwachstelle betrifft weitere Produkte aus Barracudas Portfolio, darunter die Web Application Firewall und das Web Security Gateway.

Barracuda empfiehlt, fehlende Sicherheitspatches umgehend manuell einzuspielen. Die Empfehlung gilt für jedes Gerät, auf dem der passende Patch fehlt. Ergänzend gibt der Hersteller einen Hinweis zur Erreichbarkeit der Administrationszugänge. Barracudas Empfehlungen betreffen damit zwei Ebenen, den Patchstand jedes einzelnen Geräts und die Netzarchitektur rund um die Verwaltungsoberfläche.

Häufige Fragen

Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.

Welche Barracuda-Produkte sind außer dem Email Security Gateway betroffen?

CVE-2026-111560 betrifft außerdem den Load Balancer Application Delivery Controller, den Message Archiver, das WAF Control Center, die Web Application Firewall und das Web Security Gateway. Ein Application Delivery Controller verteilt Anfragen auf mehrere Server, eine Web Application Firewall filtert Angriffe auf Webanwendungen. Für sich genommen setzt diese Schwachstelle administrativen Zugang voraus.

Wie lässt sich die eigene Verwundbarkeit prüfen?

watchTowr Labs hat einen „Detection Artefact Generator“ veröffentlicht. Das Werkzeug dient dazu, die eigene Verwundbarkeit zu prüfen. Zudem soll es Betreiber bei der Fehlerbehebung unterstützen.

Welche Rolle spielt der Netzzugang zur Administrationsoberfläche?

Erfolgreiche Angriffe setzen voraus, dass die Administrationsoberfläche erreichbar ist. Barracuda empfiehlt, Administrationszugänge ausschließlich aus vertrauenswürdigen internen Netzen zuzulassen. Diese Empfehlung steht neben dem manuellen Einspielen der Patches.

Lesetipps der Redaktion

LesetippCisco Email Gateway: Präparierte Mail übernimmt das GerätLesetippAngriff über Altsystem: TU München nahm TUMonline vom NetzLesetippKühlanlagen: Frankreich beschuldigt Irans Revolutionsgarde

Bildquelle: KI-generiert (November 2026)

Mehr aus dem MBF Media Netzwerk

cloudmagazinOpenAI-Neuzugang: Teure KI-Modelle sind die billigeren MyBusinessFutureAI-Rebounding: Wenn Firmen Entlassene zurückholen Digital ChiefsEuGH-Gutachten: Wo KI-Chatbots Presserechte verletzen