Barracuda ESG: Zwei Lücken, ein Root-Weg
Ein Login ist für den ersten Schritt nicht nötig. Ist die Admin-Oberfläche eines Barracuda ESG erreichbar, können zwei Schwachstellen ineinandergreifen – bis zum Root-Zugriff auf das Gerät.
Zwei Lücken, aber erst die Kette macht den Weg komplett
Barracuda beschreibt zwei Schwachstellen in mehreren Appliance-Produkten. CVE-2026-116606 umgeht auf dem Email Security Gateway die Autorisierung vor der Anmeldung. CVE-2026-111560 erlaubt anschließend Command Injection über eine präparierte, kompatible Backup-Datei. Auf dem ESG greifen beide Schwachstellen ineinander: erst der Zugriff auf die Importfunktion, dann die Ausführung von Befehlen mit Root-Rechten.
Der wichtige Zusatz steht in der Herstellerkorrektur vom 5. November 2026: Für CVE-2026-116606 ist keine Authentifizierung erforderlich. Der Angreifer muss die administrative Oberfläche aber erreichen können. Das ist kein Wortspiel. Es trennt ein theoretisch verwundbares Gerät von einem unmittelbar erreichbaren Angriffspfad.
Betroffen ist mehr als das Email Security Gateway
Das ESG ist von beiden CVEs betroffen. Für CVE-2026-116606 nennt Mandiant ESG-Versionen vor 9.4.0.030. Barracuda ordnet dem ESG die Patches BNSF-40425 für 9.4.017 und neuer sowie BNSF-40430 für ältere 9.4-Stände zu.
Die Command-Injection-Lücke CVE-2026-111560 betrifft zusätzlich Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall und Web Security Gateway. Dort fehlt zwar der beschriebene Pre-Auth-Bypass des ESG, die zweite Schwachstelle bleibt für administrative Zugänge trotzdem relevant. Wer nur nach ESG sucht, lässt deshalb einen Teil des Bestands ungeprüft.
Die Admin-Oberfläche ist jetzt ein konkreter Prüfpunkt
Die erste Frage ist nicht, ob die Appliance irgendwo im Inventar steht. Die erste Frage ist, von wo ihre Admin-Oberfläche erreichbar ist. Öffentliches Internet, Partnernetz, VPN, internes Administrationsnetz und temporäre Freischaltungen sind unterschiedliche Expositionen.
Barracuda empfiehlt, administrative Oberflächen auf vertrauenswürdige interne Netze zu beschränken und den Zugriff mit geeigneten Netzwerkregeln zu begrenzen. Das reduziert den Angriffspfad, ersetzt den Patch aber nicht. Eine nicht öffentlich erreichbare Oberfläche ist eine Schutzschicht, kein Beleg für einen bereinigten Softwarestand.
Patchen heißt hier: Firmware und Hotfix-Status belegen
Barracuda fordert aktuelle Firmware und alle verfügbaren Security-Patches. Wurde automatisches Patchen deaktiviert, sollen die passenden Patches manuell eingespielt und automatische Updates wieder aktiviert werden. Bei deutlich veralteter Firmware können mehrere Aktualisierungsschritte nötig sein.
Für den Abschluss würde ich pro Gerät mindestens Produkt, Firmwarestand, installierte Patch-ID, Erreichbarkeit der Admin-Oberfläche und Zeitpunkt der Prüfung dokumentieren. Ein allgemeiner Vermerk wie „Updates aktiv“ reicht nicht. Er beantwortet nicht, ob der konkrete Hotfix angekommen ist.
Keine bestätigte Ausnutzung behaupten
Die geprüften Primärquellen beschreiben Wirkung, betroffene Produkte und Abhilfe. Sie belegen in diesem Zusammenhang keine aktive Ausnutzung als festgestellten Vorfall. Deshalb gehört diese Behauptung nicht in die Lagebewertung.
Die Priorität bleibt trotzdem hoch: Der erste Schritt braucht auf dem ESG keinen Login, die Kette kann Root-Zugriff liefern und die administrative Oberfläche ist bei manchen Installationen unnötig weit erreichbar. Sauber ist eine nüchterne Aussage: Exposition sofort prüfen, passende Patches nachweisen und unklare Geräte gezielt nacharbeiten.