Barracuda bestätigt Angriffe auf die Lücke CVE-2026-116606 in seinem Email Security Gateway (ESG). In einem Update seines Sicherheitshinweises schreibt der Hersteller, man habe Ausnutzungsaktivität beobachtet, die „eine kleine Zahl von Organisationen“ betreffe. Das Update ist auf den 9. November, 21:00 Uhr Ostküstenzeit datiert – in Deutschland war es da bereits 3:00 Uhr am 10. November. Patches gibt es seit dem 2. November. Wer ein ESG mit erreichbarer Admin-Oberfläche betreibt und noch nicht aktualisiert hat, sollte das jetzt nachholen.
Update 11.11.2026: Die US-Behörde CISA hat CVE-2026-116606 und CVE-2026-111560 am 10. November 2026 in den Katalog der Known Exploited Vulnerabilities aufgenommen. Die Frist zur Absicherung für US-Bundesbehörden ist der 13. November 2026.
CVE-2026-116606: Was genau betroffen ist
Laut dem Sicherheitshinweis von Barracuda geht es um zwei Schwachstellen, die sich kombinieren lassen:
- CVE-2026-116606 ist eine Umgehung der Autorisierung vor der Anmeldung („Pre-Authentication Authorization Bypass“). Sie betrifft nur das Email Security Gateway. CVSS-Wert: 9,3.
- CVE-2026-111560 ist eine Command Injection. Sie setzt Administratorrechte voraus, steckt aber in gemeinsam genutztem Code und betrifft neben dem ESG auch Load Balancer ADC, Message Archiver (BMA), WAF Control Center (WCC), Web Application Firewall (WAF) und Web Security Gateway (WSG). CVSS-Wert: 8,6.
Barracuda führt beide Lücken mit dem Schweregrad „High“, obwohl 9,3 nach der CVSS-4.0-Skala im kritischen Bereich liegt. Die CVE-Einträge stammen von Mandiant, das beide Fehler als CNA veröffentlicht hat. Im Mandiant-Advisory MNDT-2026-0042 wird CVE-2026-116606 so beschrieben: Ein nicht angemeldeter Angreifer kann eine Konfigurations-Importfunktion aufrufen und ein präpariertes, kompatibles Backup-Archiv einspielen. Damit lässt sich die globale Konfiguration des Geräts verändern. Betroffen sind laut Mandiant ESG-Versionen vor 9.4.0.030.
Kombiniert ergeben die beiden Fehler laut Barracuda Root-Zugriff auf das Gerät. Voraussetzung ist, dass der Angreifer die Administrationsoberfläche erreichen kann.
Eine stille Korrektur am 5. November
Der Hinweis hat seit der Erstveröffentlichung zwei Updates erhalten. Das erste vom 5. November ist leicht zu übersehen, aber wichtig: Barracuda änderte bei CVE-2026-116606 das Feld „Authentication Required“ von „Ja, administrativer Zugang“ auf „Nein (Zugriff auf die Admin-Oberfläche erforderlich)“. Eine Anmeldung ist also nicht nötig – es reicht, die Admin-Oberfläche über das Netzwerk zu erreichen. Das zweite Update vom 9. November ergänzt die beobachtete Ausnutzung.
Auch das kanadische Cyber Centre hat seine Warnung AV26-1112 am 9. November aktualisiert und verweist auf Open-Source-Berichte, nach denen CVE-2026-116606 aktiv ausgenutzt wird. Im Known-Exploited-Vulnerabilities-Katalog der US-Behörde CISA war die Lücke in der Version vom 9. November (Stand 20:54 Uhr MEZ) noch nicht gelistet.
So funktioniert die Angriffskette
Die Sicherheitsfirma watchTowr hat die Patches am 5. November in einer ausführlichen Analyse zerlegt. Ihre Beschreibung erklärt, warum die Kombination so gefährlich ist:
- Fehlgeschlagener Passwortwechsel öffnet die Tür: Scheitert eine Passwortänderung, bricht der verwundbare Code die Anfrage nicht ab, sondern gibt die Rolle der aktuellen Sitzung zurück – bei einem nicht angemeldeten Angreifer die niedrig privilegierte Rolle des Login-Bildschirms. Die Verarbeitung läuft danach einfach weiter.
- Backup-Upload ohne Anmeldung: Über diesen Pfad erreichten die Forscher einen Upload-Handler, der eine hochgeladene Datei als Konfigurations-Backup einspielt.
- Prüfsumme mit festem Geheimnis: Barracuda sichert Backups zwar mit einer Prüfsumme ab. Das dafür verwendete Geheimnis ist laut watchTowr aber fest im Code hinterlegt, sodass sich gültige Prüfsummen selbst berechnen lassen.
- Zeitzone als Shell-Befehl: Zu den wiederhergestellten Daten gehört der Wert für die Systemzeitzone. Dieser landete ungeprüft in einem Shell-Aufruf. Ein Skript, das den Wert weiterverarbeitet, läuft per
sudo– der eingeschleuste Befehl wird so mit Root-Rechten ausgeführt.
Der Patch ersetzt die Shell-Aufrufe laut watchTowr durch reines Lesen und Schreiben in Perl und akzeptiert nur noch Zeitzonen, die als Datei unter /usr/share/zoneinfo/ existieren. watchTowr hat einen Generator für Erkennungsartefakte veröffentlicht, mit dem Betreiber prüfen können, ob ihr Gerät verwundbar ist.
Wer die Versionsangaben vergleicht, stößt auf Unterschiede: watchTowr verglich ESG 9.4.0.027 (verwundbar) mit 9.4.0.029 und nennt 9.4.0.029 als korrigierte Version. Mandiant und das Cyber Centre nennen „vor 9.4.0.030“ als betroffen. Für die Command Injection CVE-2026-111560 listet Mandiant bei einigen Produkten Versionen „bis einschließlich“ der Nummer, die das Cyber Centre als „vor“ angibt. Maßgeblich ist am Ende die Patch-Tabelle von Barracuda.
Was ESG-Betreiber jetzt tun sollten
Barracuda nennt für jedes Produkt eine eigene Patch-Kennung:
- Email Security Gateway: BNSF-40425 (für Firmware ab 9.4.017) bzw. BNSF-40430 (für ältere Firmware)
- Load Balancer ADC und Web Application Firewall: BNADC-16586
- Message Archiver: BNMA-32468
- WAF Control Center: BNWF-60060
- Web Security Gateway: BNYF-24789
Die Empfehlungen des Herstellers im Überblick:
- Firmware prüfen: Das Gerät zeigt die neueste verfügbare Version an. Liegt die Firmware mehrere Versionen zurück, sind unter Umständen mehrere Updates nacheinander nötig.
- Patch manuell einspielen, falls er nicht automatisch installiert wurde.
- Automatische Patches wieder einschalten, wenn sie deaktiviert sind.
- Admin-Oberfläche abschotten: Zugriff nur aus vertrauenswürdigen internen Netzen zulassen. Geräte ohne öffentlich erreichbare Admin-Oberfläche sind laut Barracuda weniger exponiert.
Zusätzlich sinnvoll, aber nicht Teil der Herstellerhinweise: Wer seine Admin-Oberfläche in den vergangenen Wochen aus dem Internet erreichbar hatte, sollte Konfiguration und Logs auf unerwartete Änderungen prüfen – insbesondere unbekannte Backup-Wiederherstellungen und eine auffällige Zeitzonen-Einstellung. Eine Liste mit Kompromittierungsindikatoren hat Barracuda in den geprüften Quellen nicht veröffentlicht.
Einordnung: Edge-Geräte bleiben das bevorzugte Ziel
Für Barracuda ist das ESG kein unbeschriebenes Blatt. 2023 wurde das Gerät über die Zero-Day-Lücke CVE-2023-2868 angegriffen; Barracuda riet betroffenen Kunden damals sogar zum Austausch der Hardware. Der aktuelle Fall ist anders gelagert – Patches stehen bereit –, zeigt aber dasselbe Grundproblem: Geräte am Netzwerkrand verarbeiten alles, laufen mit weitreichenden Rechten und sind oft schlechter überwacht als Server.
Das Muster ist in den vergangenen Tagen mehrfach aufgetaucht. Erst kürzlich ging es hier um die SonicWall-Lücke CVE-2026-19868, die SAML-MFA umgeht, und um die SSHole-Lücke in OpenSSH auf musl-Systemen. Und wie bei der Upload-Lücke CVE-2026-114432 in Contact Form 7 entsteht die eigentliche Gefahr erst durch die Kombination mehrerer Einzelfehler.
Offen ist derzeit, wer hinter den Angriffen steckt, wie viele Geräte betroffen sind und ob die vollständige Kette oder nur die Autorisierungsumgehung genutzt wurde. Barracuda spricht nur von einer „kleinen Zahl“ betroffener Organisationen. Sobald Details vorliegen, dürfte auch die Frage beantwortet werden, wie lange die Lücke vor dem Patch bereits bekannt war. Bis dahin gilt die einfache Regel: patchen, Admin-Oberfläche aus dem Internet nehmen, Logs prüfen.
