Angreifer nutzen zwei kürzlich geschlossene Schwachstellen in Barracuda-Produkten aus, die sich kombinieren lassen, um Autorisierungskontrollen zu umgehen und Root-Zugriff auf ein Gerät zu erlangen. SecurityWeek berichtete, dass Barracuda die Ausnutzung gegen eine kleine Zahl von Organisationen bestätigt hat. Für betroffene Betreiber haben Updates und Einschränkungen des administrativen Zugriffs deshalb sofortige Priorität.
Die Umgehung der Authentifizierung betrifft das Barracuda Email Security Gateway (ESG). Die zweite Schwachstelle, eine Command-Injection-Lücke im Betriebssystem, betrifft das ESG und mehrere andere Barracuda-Appliances. CISA hat beide am 10. November 2026 in den Katalog der bekannten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities) aufgenommen. Als Frist für die Behebung ist der 13. November angegeben, außerdem ist im geltenden Bundesrahmen eine forensische Triage vorgeschrieben.
Wie die Schwachstellen zusammenhängen
CVE-2026-116606 mit einem CVSS-Wert von 9,3 ermöglicht einem nicht authentifizierten Angreifer aus der Ferne, der die administrative Benutzeroberfläche des ESG erreichen kann, eine Funktion zum Import der Konfiguration aufzurufen. Durch das Wiederherstellen eines präparierten, kompatiblen Backup-Archivs kann der Angreifer unautorisierte Änderungen an der globalen Konfiguration des Geräts vornehmen, wie der CISA-Katalog erklärt.
Die zweite Lücke, CVE-2026-111560, hat einen CVSS-Wert von 8,6. Sie betrifft das ESG, Load Balancer/Application Delivery Controller (ADC), Web Application Firewall (WAF), Web Security Gateway (WSG), Message Archiver (BMA) und WAF Control Center (WCC).
Für die Ausnutzung dieser Lücke ist ein authentifizierter administrativer Zugriff erforderlich. CISA beschreibt, wie ein Angreifer OS-Befehle in einen präparierten Zeitzonenwert einschleust. Diese Befehle werden mit Root-Rechten ausgeführt, sobald der Wert verarbeitet wird.
Die Voraussetzungen sind wichtig: Die Umgehung der Authentifizierung betrifft nur das ESG, während die Command Injection einen breiteren Produktbereich abdeckt. CISA stuft die beiden Schwachstellen als verkettbar ein. Barracuda warnte am 2. November, dass die Kombination beider Lücken einem Angreifer erlauben könnte, Autorisierungskontrollen zu umgehen und Root-Zugriff auf ein Gerät zu erlangen, wie SecurityWeek berichtete.
Eine Woche nach dieser Warnung aktualisierte Barracuda seinen Advisory und bestätigte die Ausnutzung gegen eine kleine Zahl von Organisationen. Unabhängig davon berichtete SecurityWeek, dass die Cybersicherheitsfirma Previdian zwischen dem 9. und 11. November 17 Versuche beobachtet hat, die auf CVE-2026-116606 abzielten. Sie stammten von 15 IP-Adressen aus drei Ländern.
Diese Beobachtungen zählen Versuche. Die Bestätigung durch Barracuda und die Einträge im CISA-Katalog belegen die Besorgnis über die Ausnutzung, die CVSS-Werte beschreiben dagegen die Schwere. CISA führt den Einsatz in Ransomware-Kampagnen für beide Schwachstellen als unbekannt auf.
Die Reaktion der Bundesbehörden umfasst forensische Triage
Die Einträge im CISA-Katalog fordern die betroffenen Behörden auf, Gegenmaßnahmen gemäß den Anweisungen des Herstellers anzuwenden und die Binding Operational Directive 26-04 mit ihren Anforderungen an die forensische Triage einzuhalten. Außerdem sollen einschlägige Leitlinien für Cloud-Dienste befolgt werden. Ist keine Gegenmaßnahme verfügbar, soll das Produkt nicht mehr genutzt werden.
Das Katalogdatum vom 13. November gilt im Rahmen einer Richtlinie für die zivilen Bundesbehörden der USA (Federal Civilian Executive Branch). Nach BOD 26-04 hängen die Reaktionsfristen für einzelne Assets von der öffentlichen Erreichbarkeit, dem KEV-Status, der Frage, ob sich die Ausnutzung automatisieren lässt, und den technischen Auswirkungen ab. Die Behörden müssen die Exposition jedes Assets selbst bewerten. Das Katalogdatum ist keine allgemeingültige rechtliche Frist für jede Organisation oder jedes Gerät.
Für die Reaktionskategorie mit drei Tagen verlangt die Richtlinie, innerhalb dieses Zeitraums Abhilfe zu schaffen oder Gegenmaßnahmen umzusetzen, und eine forensische Triage durchzuführen, um eine Kompromittierung zu bewerten. Ein System vom Internet zu trennen, kann seine Einstufung der Exposition und den Zeitrahmen für weitere Maßnahmen ändern.
Der Umsetzungsleitfaden von CISA fordert die Behörden auf, die betroffenen Systeme zu erfassen und Beweise zu sichern, bevor sie verändert oder, soweit möglich, bereinigt werden. Flüchtige Daten sollten zuerst erhoben werden, wobei Erfassungsprotokolle zu führen sind, da Patching und Eindämmung Artefakte zerstören können, die für die Analyse benötigt werden.
Anschließend sollten die Behörden kritische Patches einspielen, die Eindämmung mit der Beweissicherung abstimmen, betroffene oder verdächtigte Systeme isolieren und die Beweise auf unbefugten Zugriff, die Präsenz von Angreifern, laterale Bewegungen, Persistenz sowie Staging und Exfiltration von Daten prüfen. Die im Leitfaden genannten individuellen Zielzeiten für die Triage sind empfohlene Vorgehensweisen. Verbindlich vorgeschrieben ist die Durchführung einer angemessenen forensischen Triage.
Administratoren, die die betroffenen Barracuda-Produkte einsetzen, sollten die jeweils passenden Updates zügig installieren. SecurityWeek rät außerdem, administrative Schnittstellen vom öffentlichen Internet fernzuhalten und den Zugriff auf vertrauenswürdige interne Netze zu beschränken. Betroffene Bundesbehörden sollten die vom Hersteller vorgegebenen Gegenmaßnahmen mit der vorgeschriebenen Prüfung auf Kompromittierung verbinden.
