Barracuda Email Security Gateway: Zwei Lücken ergeben zusammen Root-Rechte

Was bei den Barracuda-Gateways passiert ist

Barracuda beschreibt zwei Lücken, die einzeln unterschiedlich schwer wiegen und zusammen zum Vollzugriff führen. Laut den Advisories, die Mandiant zu beiden Schwachstellen veröffentlicht hat, sieht das so aus:

• CVE-2026-116606 ist eine Umgehung der Autorisierung vor der Anmeldung. Ein nicht angemeldeter Angreifer kann demnach eine Import-Funktion ansprechen und eine präparierte, kompatible Sicherung zurückspielen — mit dem Ergebnis, dass die globale Konfiguration des Geräts verändert wird. Mandiant bewertet die Lücke mit CVSS 9,3.
• CVE-2026-111560 ist eine Befehlsausführung, die im Feld für die Zeitzone sitzt — in Code, den mehrere Barracuda-Produkte teilen. Mandiant nennt CVSS 8,6; betroffen sind neben dem ESG auch Load Balancer (ADC), Message Archiver (BMA), Web Application Firewall (WAF), WAF Control Center (WCC) und Web Security Gateway (WSG).

Einzeln bleibt die Lage beherrschbar: Barracuda stellt klar, dass eine erfolgreiche Ausnutzung Zugriff auf die Administrationsoberfläche des Geräts voraussetzt. In Kombination aber lässt sich über die erste Lücke genau diese Oberfläche erreichen, um darüber die zweite auszulösen. Barracuda fasst es selbst so zusammen: zusammengenommen könnten die Lücken Autorisierungskontrollen umgehen und Root-Zugriff auf das Gerät verschaffen.

Nach Angaben von Mandiant hat Barracuda die Befehlsausführung am 15. Oktober und die Umgehung am 22. Oktober gemeldet bekommen. Behoben ist beides mit der Firmware 9.4.0.029; die Dokumentation nennt den Update-Pfad über *Advanced > Firmware Update* und verlangt, nach dem Neustart zu bestätigen, dass die Version tatsächlich 9.4.0.029 oder höher ist. Wer von einer Version unter 9.1 kommt, muss in zwei Schritten aktualisieren.

Warum ein Mail-Gateway ein lohnendes Ziel ist

Ein Mail-Gateway ist die Stelle, an der praktisch jede geschäftliche E-Mail vorbeikommt. Wer dort Root-Rechte hat, kann Mails mitlesen, Anhänge austauschen, Absenderadressen fälschen oder Regeln anlegen, die bösartige Nachrichten durchlassen. Es ist damit kein Einzelgerät, sondern ein Hebel auf alle Kommunikation — auch auf die Ihrer Kunden, Lieferanten und Steuerberater.

Dazu kommt die Bauart der Lücke: Es braucht keinen Angriff auf Ihre Endgeräte und keine geöffnete Datei. Wer die Verwaltungsoberfläche erreicht, arbeitet mit den Bordmitteln des Geräts. Deshalb ist die Erreichbarkeit hier keine Nebensache, sondern die eigentliche Schutzmaßnahme — der Hersteller empfiehlt ausdrücklich, den Zugriff auf vertrauenswürdige interne Netze zu beschränken.

Für Betriebe im Umland von Fürstenfeldbruck und Augsburg, die ihre IT betreuen lassen, kommt eine zweite Frage dazu: Manche Geräte stehen nicht im eigenen Schrank, sondern in einem Rechenzentrum des Dienstleisters oder werden als Managed Service betrieben. Wer nicht weiß, ob ein Barracuda-Gateway im Spiel ist, kann den Patchstand auch nicht prüfen.

Was Sie jetzt konkret prüfen sollten

Ob Sie selbst betreiben oder betreuen lassen — diese vier Punkte lassen sich in kurzer Zeit klären:

1. Kommt ein Barracuda-Gateway zum Einsatz? Das gilt für ESG und ausdrücklich auch für Load Balancer (ADC), Message Archiver, Web Application Firewall und Web Security Gateway, weil die Befehlsausführung in gemeinsamem Code steckt. Fragen Sie schriftlich nach Hersteller, Produkt und Firmware-Stand.

2. Steht die Firmware auf 9.4.0.029 oder höher? Der Hersteller verlangt die Bestätigung nach dem Update ausdrücklich — einmal *Advanced > Firmware Update* öffnen und die installierte Version ablesen, statt sie vorauszusetzen. Manche Umgebungen patchen automatisch; ist das abgeschaltet, sollte die Automatik nach Herstellerempfehlung wieder eingeschaltet werden.

3. Ist die Verwaltungsoberfläche aus dem Internet erreichbar? Sie sollte es nicht sein. Wenn doch, ist das in diesem Fall die Lücke, die zählt — unabhängig vom Patchstand. Eine Beschränkung auf interne Netze ist nachträglich umsetzbar und wirkt sofort.

4. Wurde eine Versionsänderung kontrolliert? Ein Gerät, das von außen erreichbar war, sollte nach dem Patch nicht einfach weiterlaufen: Administrationskonten, Anmeldeverlauf und Konfigurationsänderungen prüfen. Wer das nicht selbst kann, sollte es beim Dienstleister als abgeschlossene Aufgabe einfordern, nicht als Absichtserklärung.

Ein Hinweis zur Verhältnismäßigkeit: Für ein Gerät, das nur im internen Netz erreichbar ist, ist die Dringlichkeit eine andere als für eine über das Internet verwaltete Instanz. Die Prüfung der Versionsnummer bleibt in beiden Fällen der erste Schritt.