Barracuda bestätigt Angriffe: Patchstand der Sicherheitsgeräte prüfen

Barracuda hat Angriffe im Zusammenhang mit CVE-2026-116606 und CVE-2026-111560 bestätigt. Der am 10. November um 3 Uhr deutscher Zeit ergänzte Sicherheitshinweis spricht von wenigen betroffenen Organisationen. Neu ist die bestätigte Ausnutzung der am 2. November veröffentlichten Lücken. Betreiber sollten den tatsächlich installierten Patchstand prüfen.

Beide Fehler betreffen das Email Security Gateway (ESG). Zusammengenommen können sie eine Berechtigungsprüfung umgehen und Root-Zugriff ermöglichen, also Zugriff mit höchsten Systemrechten. Voraussetzung ist eine für den Angreifer erreichbare Verwaltungsoberfläche. Für die Umgehungslücke ist keine vorherige Anmeldung erforderlich.

Von der Befehlsinjektion CVE-2026-111560 sind außerdem Application Delivery Controller, Message Archiver, WAF Control Center, Web Application Firewall und Web Security Gateway betroffen. Diese Lücke allein setzt administrative Zugriffsrechte voraus. Eine konkrete Opferzahl oder betroffene Länder nennt Barracuda nicht.

Beim Email Security Gateway Firmware und Installation kontrollieren

Für das ESG nennt die produktspezifische Anleitung Firmware 9.4.0.029 oder neuer als korrigierten Stand. Kontrollieren Sie unter Advanced > Firmware Update die tatsächlich installierte Version und prüfen Sie sie nach dem Update erneut. Bei Ausgangsversionen unter 9.1 ist laut Hersteller ein mehrstufiges Upgrade erforderlich; ein direkter Sprung auf 9.4.0.029 ist nicht möglich.

Für die weiteren Produkte bündelt Barracuda Campus die jeweiligen Updateanleitungen. Prüfen Sie sowohl den Firmwarestand als auch sämtliche erforderlichen Sicherheitskorrekturen. Beschränken Sie den Verwaltungszugang zusätzlich auf vertrauenswürdige interne Netze. Das verringert die Angriffsfläche, ersetzt aber keine ausstehenden Updates.