Ing. Calogero Bono
Barracuda hat Patches für zwei Schwachstellen veröffentlicht, die zusammengenommen einem Angreifer aus der Ferne erlauben, Befehle als root auf dem Email Security Gateway auszuführen, ganz ohne Login. Das CSIRT Italia hat eine Warnung herausgegeben und auf die Verfügbarkeit eines Proof of Concept (PoC) hingewiesen. Das Unternehmen watchTowr hat die technische Analyse der Angriffskette veröffentlicht. Das ist wichtig, weil das Gerät die Firmen-E-Mails filtert und bei Exposition zu einem äußerst heiklen Einfallstor wird.
Ein paar Begriffe, bevor wir zu den Fakten kommen CVE ist die Kennung einer bekannten Schwachstelle. PoC (Proof of Concept) ist ein Nachweis, wie sich eine Lücke ausnutzen lässt. Authentication Bypass bedeutet, die Zugriffskontrolle zu umgehen. Command Injection ist das Einschleusen von Systembefehlen in ein Feld, das nur Daten enthalten sollte. CVSS ist der Schweregrad von 0 bis 10.
Was ist mit Barracuda passiert?
Laut der Warnung der ACN gibt es einen PoC für zwei Lücken, CVE-2026-116606 und CVE-2026-111560, die verschiedene Barracuda-Produkte betreffen. Zusammen erlauben sie einem Angreifer aus der Ferne, der die Administrationsoberfläche erreicht, die Authentifizierung zu umgehen und beliebigen Code auszuführen.
Wie The Hacker News berichtet, hat das Unternehmen am Montag Patches veröffentlicht, und watchTowr hat die Angriffskette am Donnerstag im Detail beschrieben.
Wie funktionieren die beiden Lücken?
Die CVE-2026-116606 ist ein Authentication Bypass mit 9,3 von 10 (CVSS 4.0). Sie betrifft nur das Email Security Gateway. Laut ACN entsteht sie durch einen Fehler beim Wechsel des Administratorpassworts. Schlägt der Wechsel fehl, meldet die Software den Fehler, stoppt die Anfrage aber nicht.
Die CVE-2026-111560 ist eine Command Injection mit 8,6. Das Feld für die Zeitzone (system_timezone) neutralisiert keine Shell-Metazeichen, und die Befehle werden mit erhöhten Rechten ausgeführt. Normalerweise braucht man dafür ein Administratorkonto, auf dem ESG verschafft der Bypass es aber.
Wie gelangt man ohne Login an root?
Laut der Analyse von watchTowr, die The Hacker News wiedergibt, liefert der fehlgeschlagene Passwortwechsel dem Angreifer eine Rolle mit wenigen Rechten, anstatt die Anfrage zu blockieren. So bleibt eine Funktion zur Wiederherstellung von Backups offen.
Das hochgeladene Backup enthält einen Zeitzonenwert, den die Appliance anschließend als Shell-Befehl mit root-Rechten ausführt. Barracuda sichert Backups mit einer Prüfsumme ab, das Geheimnis zu deren Berechnung steht aber im Code und lässt sich daher fälschen. watchTowr hat den Angriff demonstriert, indem es eine Datei als root schrieb.
Welche Produkte sind betroffen und wie wird korrigiert?
Die Command Injection betrifft sechs Produkte.
- Email Security Gateway
- Load Balancer ADC
- Message Archiver
- WAF Control Center
- Web Application Firewall
- Web Security Gateway
Bei den fünf anderen als dem ESG ist weiterhin ein Administratorkonto nötig. Barracuda stellt für jedes Produkt einen Patch bereit. Das Email Security Gateway ist ab Version 9.4.0.030 korrigiert. Wenn du nicht sofort aktualisieren kannst, beschränke die Administrationsoberfläche auf vertrauenswürdige interne Netze und aktiviere die automatischen Updates wieder, falls du sie deaktiviert hattest.
Grenzen, die du kennen solltest
Keine der beiden Lücken steht im KEV-Katalog der CISA, und kein öffentlicher Bericht verbindet sie mit einem Angriff. watchTowr hat ein Erkennungswerkzeug veröffentlicht, aber keinen Exploit. Ob öffentliche Exploits auftauchen, bleibt abzuwarten. Die beiden Quellen beschreiben den Bypass etwas unterschiedlich, und die vollständige Liste der betroffenen Versionen steht nur im Sicherheitsbulletin des Herstellers.
Was sich für alle ändert, die digital arbeiten
Wenn dein Unternehmen eine Barracuda-Appliance nutzt, prüfe sofort die Firmware-Version und spiele den Patch ein. Kontrolliere danach, ob die Administrationsoberfläche aus dem Internet erreichbar ist, denn genau das setzt der Angriff voraus. Wer eine Infrastruktur betreibt, kann den Zugriff einschränken, etwa wie bei einem privaten Subnetz und Security Groups. Wenn du Server an Dritte übergibst, frag nach, wer für Updates zuständig ist, wie beim Managed Hosting.
Unsere Einschätzung
Der Fall zeigt einen klassischen Fehler. Eine Prüfung, die das Problem zwar meldet, den Ablauf aber nicht stoppt, bringt wenig. Hinzu kommt ein fest im Code hinterlegtes Geheimnis für die Prüfsumme, das niemanden aufhält. Eine Perimeter-Verteidigung sollte keinen entfernten Root-Zugang öffnen. Denk außerdem an die APT-Lücke bei Installationen als root. Panik ist nicht nötig, aber der Patch gehört jetzt eingespielt.
Häufige Fragen
Ist ein Login nötig, um die Angriffskette auf Barracuda ESG auszunutzen?
Nein. Laut The Hacker News führen die beiden verketteten Lücken ohne Login zu root. Der Angreifer muss jedoch die Administrationsoberfläche der Appliance erreichen können.
Welche Versionen des Email Security Gateway sind korrigiert?
Version 9.4.0.030 und neuer. Die Details für jedes Produkt stehen im Sicherheitsbulletin von Barracuda.
Werden die Lücken bereits in Angriffen genutzt?
Das ist nicht belegt. Den Quellen zufolge stehen sie nicht im KEV-Katalog der CISA, und kein öffentlicher Bericht verbindet sie mit einem Angriff. Ein PoC ist jedoch verfügbar.
Was tue ich, wenn ich nicht sofort aktualisieren kann?
Beschränke die Administrationsoberfläche auf vertrauenswürdige interne Netze. Aktiviere außerdem die automatischen Updates wieder, falls du sie deaktiviert hattest.
Wer hat die beiden CVE vergeben?
Laut The Hacker News Mandiant. Mandiant, das die beiden CVE vergeben hat, bewertete den Bypass mit 9,3 von 10 und die Command Injection mit 8,6.
Worauf du in den kommenden Wochen bei Barracuda-Appliances achten solltest
Der Patch ist da, der PoC aber auch, und das Zeitfenster zwischen Ankündigung und Angriffen wird kürzer. Es lohnt sich, die Entwicklung im Blick zu behalten.
- Prüfe, ob die beiden CVE in den KEV-Katalog der CISA aufgenommen werden oder ob öffentliche Exploits auftauchen.
- Nutze das Erkennungswerkzeug von watchTowr, um deine Appliances zu überprüfen.
- Lies das Barracuda-Bulletin für die Produkte außer dem ESG noch einmal durch und bestätige die korrekten Versionen.
