CVE-2026-116606: Barracuda-ESG-Authentifizierungsumgehung wird ausgenutzt - Update und Prüfung auf Kompromittierung

Barracuda hat am 2. November 2026 ein Advisory zu zwei Lücken im Barracuda Email Security Gateway (ESG) veröffentlicht und am selben Tag Patches bereitgestellt. CVE-2026-116606 ist eine Authentifizierungsumgehung mit einer CVSS-4.0-Bewertung von 9.3: Ein Angreifer ohne Anmeldung kann über die Verwaltungsoberfläche eine Funktion zum Konfigurationsimport aufrufen, eine präparierte Sicherung einspielen und so die globale Konfiguration der Appliance ändern. Betroffen sind laut NVD und Mandiant alle ESG-Versionen vor 9.4.0.030. Zusammen mit der Command Injection CVE-2026-111560 ist laut Barracuda Root-Zugriff auf das Gerät möglich. Am 9. November 2026 hat Barracuda das Advisory um den Hinweis ergänzt, dass die Lücken bei einer kleinen Zahl von Organisationen ausgenutzt wurden. Die US-Behörde CISA hat beide CVEs am 10. November 2026 in ihren Katalog ausgenutzter Schwachstellen (KEV) aufgenommen.

Das Wichtigste in Kürze

Betroffene Versionen und Updates

Barracuda identifiziert die Fixes im Advisory über Patch-Kennungen; die Versionsgrenze 9.4.0.030 stammt aus dem CVE-Eintrag von Mandiant und aus NVD. Die Schreibweise «9.4.017» entspricht dem Advisory. Ist die Firmware mehrere Versionen im Rückstand, kann laut Barracuda mehr als ein Update nötig sein, bevor der Patch greift.

CVE-2026-111560 (Command Injection, CVSS 4.0: 8.6) betrifft neben dem ESG weitere Produkte. Ohne CVE-2026-116606 setzt die Ausnutzung dort Administratorrechte voraus. Die Versionsgrenzen stammen aus der Übersicht von Beazley Security, die Patch-Kennungen aus dem Barracuda-Advisory:

Was über die Ausnutzung bekannt ist

Barracuda schreibt im Update vom 9. November 2026, man habe Ausnutzung bei einer kleinen Zahl von Organisationen festgestellt. Zur Zahl der Betroffenen, zu den Angreifern und zum Vorgehen macht Barracuda keine Angaben; Indikatoren (IoCs) enthält das Advisory nicht. CISA führt CVE-2026-116606 und CVE-2026-111560 seit dem 10. November 2026 im KEV-Katalog und verlangt von US-Bundesbehörden bis zum 13. November 2026 die Massnahmen des Herstellers sowie eine forensische Sichtung nach BOD 26-04. Ist keine Abhilfe möglich, soll das Produkt laut CISA ausser Betrieb genommen werden.

Gemeldet hat Barracuda die Lücke am 22. Oktober 2026; Mandiant hat am 2. November 2026 den CVE-Eintrag und das Advisory MNDT-2026-0042 veröffentlicht. Laut Mandiant führt der Angriff über den Konfigurationsimport: Eine präparierte, kompatible Sicherung wird ohne Anmeldung eingespielt und überschreibt die globale Konfiguration. CVE-2026-111560 liegt laut SecurityWeek in der Einstellung der Zeitzone und erlaubt Befehle mit Root-Rechten.

Laut SecurityOnline hat watchTowr Labs eine technische Analyse und auf GitHub ein Skript zur Kette veröffentlicht. Das Repository ist öffentlich; watchTowr bezeichnet das Skript als «Detection Artifact Generator», laut SecurityOnline nimmt es beliebige Befehle entgegen. SecurityOnline beschreibt die Ursachen so: Ein fehlgeschlagener Passwortwechsel meldet zwar einen Fehler, bricht die Verarbeitung aber nicht ab; die Prüfsumme der Sicherungsdateien beruht auf einem fest eingebauten Geheimnis, wodurch sich gültige Sicherungen fälschen lassen; über einen Zeitzonenwert in der Sicherung wird dann der eingeschleuste Befehl als Root ausgeführt. Ob die beobachteten Angriffe dieses Skript nutzen, ist nicht bekannt.

Sofortmassnahmen

1. Patch-Stand prüfen: In der Weboberfläche unter ADVANCED > Firmware Update im Abschnitt «Firmware Patches» mit «Sync Now» die verfügbaren Patches abrufen und kontrollieren, ob BNSF-40425 bzw. BNSF-40430 angewendet ist. Laut Barracuda können die Patches automatisch eingespielt worden sein.

2. Patch oder Firmware-Update einspielen: Fehlt der Patch, spielen Sie ihn umgehend manuell ein. Im Modus «Automatic» startet die Appliance nach einem Patch laut Barracuda-Dokumentation nicht selbst neu; ist ein Neustart nötig, lösen Sie ihn manuell aus. Bei älterer Firmware zuerst die nötigen Update-Schritte durchführen.

3. Automatisches Patchen aktivieren: Steht «Apply Patches» auf «Disable» (Voreinstellung laut Dokumentation) oder «Manual», empfiehlt Barracuda, die automatische Anwendung wieder einzuschalten.

4. Verwaltungsoberfläche abschotten: Den Zugriff auf die Verwaltungsoberfläche auf vertrauenswürdige interne Netze beschränken, etwa ein Managementnetz oder ein VPN, und auf der vorgelagerten Firewall durchsetzen. Barracuda stuft Geräte ohne aus dem Internet erreichbare Verwaltungsoberfläche als weniger gefährdet ein. Die Massnahme ersetzt den Patch nicht.

5. Weitere Barracuda-Produkte prüfen: Load Balancer ADC, WAF, WSG, Message Archiver und WAF Control Center auf die Patches für CVE-2026-111560 kontrollieren.

Prüfung auf Kompromittierung

Barracuda und CISA veröffentlichen keine Indikatoren. Da die Lücke ausgenutzt wird und sich ohne Anmeldung ansprechen lässt, sollte jedes Gerät geprüft werden, dessen Verwaltungsoberfläche vor dem Patch von ausserhalb des Managementnetzes erreichbar war. Field Effect empfiehlt dazu:

1. Erreichbarkeit klären: Feststellen, ob und seit wann die Verwaltungsoberfläche aus dem Internet oder aus Netzen ausserhalb der Administration erreichbar war; Firewall- und Proxy-Logs für diesen Zeitraum sichern.

2. Administrative Zugriffe auswerten: Zugriffe auf die Verwaltungsoberfläche von unbekannten Adressen prüfen.

3. Konfigurationsimporte suchen: Wiederherstellungen von Konfigurationssicherungen, die nicht von der eigenen Administration stammen, sind ein Hinweis auf CVE-2026-116606.

4. Konfigurationsänderungen prüfen: Änderungen an der Konfiguration auf unerwartete Einträge prüfen. Hilfreich ist ein Abgleich mit einer bekannten, sauberen Sicherung; dazu gehört auch die Zeitzoneneinstellung, über die CVE-2026-111560 ausgelöst wird.

5. Zugangsdaten wechseln: Bei Verdacht auf Kompromittierung alle Zugangsdaten, Schlüssel und Konten wechseln, die von der Appliance aus erreichbar sind.

Ein erfolgreicher Angriff verändert laut CVE-Beschreibung die globale Konfiguration, in Verbindung mit CVE-2026-111560 ist Root-Zugriff möglich. Die Quellen äussern sich nicht dazu, ob der Patch solche Änderungen rückgängig macht. Prüfen Sie deshalb auch nach dem Update weiter, und sichern Sie Logs und Konfiguration vor Änderungen, damit eine forensische Auswertung möglich bleibt. Nach der Kampagne um CVE-2023-2868 hatte Barracuda laut SecurityWeek den Austausch kompromittierter Geräte verlangt; für die aktuellen Lücken liegt eine solche Empfehlung bisher nicht vor (Stand 11. November 2026).

Einordnung

CVE-2026-116606 betrifft ausschliesslich Betreiber des Barracuda Email Security Gateway; CVE-2026-111560 trifft zusätzlich fünf weitere Barracuda-Produkte. Das ESG war schon früher Ziel gezielter Angriffe: CVE-2023-2868 wurde laut BleepingComputer seit mindestens Oktober 2022 von der Gruppe UNC4841 ausgenutzt, laut Mandiant (zitiert von BleepingComputer) gehörte knapp ein Drittel der damals kompromittierten Geräte zu Behörden. Meldungen von NCSC Schweiz, BSI oder CERT-FR zu CVE-2026-116606 waren bis zum 11. November 2026 nicht auffindbar.