CVE-2026-116606: Authentication Bypass Allows Global Configuration Restore in Barracuda Email Security Gateway

Analyse auf rafaelpfister.ch

Artikel · 11. November 2026 CVE-2026-116606: Barracuda-ESG-Authentifizierungsumgehung wird ausgenutzt - Update und Prüfung auf Kompromittierung Eine Authentifizierungsumgehung im Barracuda Email Security Gateway vor 9.4.0.030 (CVE-2026-116606, CVSS 4.0: 9.3) erlaubt ohne Anmeldung den Import einer präparierten Konfigurationssicherung. Barracuda bestätigt Angriffe, CISA führt die Lücke seit dem 10. November 2026 im KEV-Katalog. Patches sind seit dem 2. November verfügbar; die Verwaltungsoberfläche sollte nicht aus dem Internet erreichbar sein.

Beschreibung des Herstellers (englisch)

An authentication bypass in Barracuda Email Security Gateway versions earlier than 9.4.0.030 allows an unauthenticated remote attacker to invoke a configuration-import function and restore a crafted, compatible backup archive, resulting in unauthorized modification of the appliance’s global configuration.

Stammdaten

Hersteller

Barracuda Networks

Betroffene Produkte

Barracuda Email Security Gateway (ESG)

CVSS 4.0

9.3 (CRITICAL)

Vektor

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Schwachstellentyp

CWE-288: Authentication bypass using an alternate path or channel

Veröffentlicht

2. November 2026

Im KEV-Katalog seit

10. November 2026

Frist US-Bundesbehörden

13. November 2026

Offizielle Quellen

← Alle Schwachstellen