Barracuda-Lücke CVE-2026-116606: Root-Zugriff auf Email Security Gateway ohne Login

Wer eine Barracuda Email Security Gateway (ESG) betreibt, hat seit Anfang November 2026 einen konkreten Grund zu patchen, der über die übliche "kritische CVSS-Bewertung, besser mal aktualisieren" hinausgeht: Sicherheitsforscher von watchTowr Labs haben öffentlich gezeigt, wie sich zwei Schwachstellen im Produkt zu einem vollständigen, unauthentifizierten Weg zu Root-Rechten verketten lassen – Schritt für Schritt nachvollziehbar, inklusive der exakten HTTP-Anfrage, die dafür genügt.

Was Barracuda selbst meldet

Laut dem Sicherheitshinweis von Barracuda (öffnet in neuem Tab) betreffen zwei Schwachstellen mehrere Produkte der Firma:

• CVE-2026-116606 – eine Pre-Authentication-Authorization-Bypass-Lücke mit einem CVSS-Wert von 9,3 ("Critical"). Betroffen ist laut Barracuda ausschließlich die Email Security Gateway (ESG). Eine Authentifizierung ist nicht erforderlich, allerdings muss die administrative Weboberfläche für den Angreifer erreichbar sein – Barracuda hat diese Klarstellung laut eigenem Hinweis am 5. November 2026 nachträglich präzisiert.
• CVE-2026-111560 – eine Command-Injection-Schwachstelle mit CVSS 8,6 ("High"), die laut Barracuda sechs Produktlinien betrifft: neben der ESG auch Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall und Web Security Gateway. Hierfür ist laut Barracuda administrativer Zugriff nötig.

Beide Lücken sind laut Barracuda in Firmware-Version 9.4.0.029 beziehungsweise den entsprechenden Patches (BNSF-40425 für Versionen ab 9.4.017, BNSF-40430 für ältere Stände) behoben. Der Hersteller schreibt in seinem Hinweis ausdrücklich: Werden beide Lücken kombiniert ausgenutzt, kann ein Angreifer Autorisierungskontrollen umgehen und Root-Zugriff auf das Gerät erlangen.

Warum das mehr ist als eine CVSS-Zahl

Was den Fall von einer gewöhnlichen Patch-Meldung unterscheidet, ist die veröffentlichte technische Analyse von watchTowr Labs (öffnet in neuem Tab). Die Forscher haben die Patches von Barracuda mit der Vorversion verglichen ("Patch Diffing") und daraus den konkreten Angriffsweg rekonstruiert:

Die erste Schwachstelle liegt laut watchTowr Labs in der Passwortänderungs-Logik des ESG-Webinterfaces. Schlägt ein Passwortwechsel fehl, gibt die betroffene Funktion vor dem Patch trotzdem ein Nutzerrollenobjekt zurück, statt die Anfrage sauber abzubrechen – und zwar auch dann, wenn die Anfrage unauthentifiziert kam. Dadurch erreicht ein Angreifer ohne Login einen Codepfad, der eigentlich nur eingeloggten Nutzern offenstehen sollte.

Die zweite Schwachstelle betrifft laut derselben Analyse die Backup-Wiederherstellungsfunktion der ESG. Eine hochgeladene Sicherungsdatei wird zwar per Prüfsumme validiert – doch das dafür verwendete geheime Schlüsselwort ist laut watchTowr Labs im Programmcode fest hinterlegt und damit für jeden berechenbar, der die Software besitzt. Ein Angreifer kann damit eine eigene, gültig aussehende Backup-Datei erzeugen und über den zuvor erreichten Codepfad einspielen lassen – inklusive eigener SQL-Befehle, die beim Wiederherstellen ausgeführt werden.

In Kombination ergibt das laut watchTowr Labs einen vollständigen Weg von einer einzigen, unauthentifizierten HTTP-Anfrage an die administrative Oberfläche bis zu Root-Rechten auf dem Gerät. Die Forscher haben zusätzlich ein öffentliches Erkennungswerkzeug veröffentlicht, mit dem Betreiber prüfen können, ob ihre eigene Instanz noch angreifbar ist.

Noch keine bestätigte aktive Ausnutzung – das ist kein Grund zu warten

Zum Stand 4. November 2026 bewertete die Sicherheitsfirma Threat Defence (öffnet in neuem Tab) die Lage so: keine gemeldete aktive Ausnutzung in freier Wildbahn, die Schwachstelle stand zu diesem Zeitpunkt nicht im Known-Exploited-Vulnerabilities-Katalog der US-Behörde CISA. Das ist eine Momentaufnahme, keine Entwarnung – mit einer öffentlich dokumentierten, vollständigen Exploit-Kette ist die Hürde für Nachbauten gering, und Barracuda-Appliances waren bereits in der Vergangenheit Ziel gezielter Angriffe: 2023 musste Barracuda nach der Ausnutzung von CVE-2023-2868 Kunden anweisen, betroffene ESG-Geräte physisch auszutauschen, unabhängig vom eingespielten Patch-Stand, wie Barracuda im eigenen historischen Sicherheitshinweis (öffnet in neuem Tab) dokumentiert – ein Hinweis darauf, wie ernst der Hersteller Kompromittierungen dieser Produktlinie in der Vergangenheit genommen hat.

Was Betreiber jetzt konkret prüfen sollten

1. Bestand aufnehmen. Jede Barracuda-ESG-Instanz identifizieren sowie alle weiteren betroffenen Produkte – Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall, Web Security Gateway –, mit Priorität auf Geräten, deren administrative Oberfläche aus dem Internet erreichbar ist.
2. Firmware-Version prüfen. Laut NVD-Eintrag zu CVE-2026-116606 (öffnet in neuem Tab) sind alle ESG-Versionen vor 9.4.0.030 betroffen. Wer unsicher ist, ob automatische Updates aktiv sind, sollte das in der Geräteverwaltung kontrollieren – Barracuda weist in seinem Hinweis ausdrücklich darauf hin, dass bei mehreren veralteten Versionsständen gegebenenfalls mehrere Updates nacheinander nötig sind.
3. Administrative Oberfläche vom Internet trennen. Barracuda selbst empfiehlt, den Zugriff auf die Admin-Oberfläche auf vertrauenswürdige interne Netze zu beschränken. Wer das Admin-Interface ungeschützt aus dem Internet erreichbar hat, reduziert mit diesem einen Schritt die Angriffsfläche am wirksamsten, unabhängig vom Patch-Stand.
4. Patches zeitnah einspielen. Laut Barracuda erhalten Geräte mit aktivierter automatischer Patch-Funktion die Korrektur automatisch – wer diese Funktion deaktiviert hat, sollte den Patch manuell einspielen und danach prüfen, ob die Firmware tatsächlich aktuell ist.
5. Bei Unsicherheit über eine mögliche frühere Kompromittierung das von watchTowr Labs veröffentlichte Erkennungswerkzeug nutzen oder fachkundige Unterstützung hinzuziehen – ein eingespielter Patch beseitigt keine bereits erfolgte Kompromittierung.

Warum das über Barracuda hinaus relevant ist

Email Security Gateways sitzen architekturbedingt am Rand des Netzwerks und verarbeiten per Definition unvertrauenswürdige, von außen kommende Daten – genau das macht sie zu einem wiederkehrenden Ziel für genau diese Art von Kette aus Authentifizierungsumgehung und Command Injection. Vinspire hat in den vergangenen Monaten vergleichbare Fälle bei Fortinet-, Citrix- und Ivanti-Perimeter-Systemen begleitet, jeweils mit derselben Grundlogik: Ein am Rand sitzendes Sicherheitsgerät mit administrativer Oberfläche ist nur so sicher wie der Zugriffsschutz auf genau diese Oberfläche – unabhängig vom sonstigen Funktionsumfang des Produkts.

Bemerkenswert an diesem Fall ist zusätzlich, wie die Schwachstelle öffentlich wurde. watchTowr Labs hat keine bloße Zusammenfassung des Barracuda-Hinweises veröffentlicht, sondern die tatsächlichen Patch-Dateien analysiert, den alten gegen den neuen Code verglichen und daraus eine funktionierende, wenn auch harmlos gehaltene Demonstrationsanfrage gebaut. Dieses Vorgehen – "Patch Diffing" – ist in der Sicherheitsforschung etabliert, verkürzt aber in der Praxis die Zeit zwischen Patch-Veröffentlichung und einem funktionierenden Angriffswerkzeug erheblich. Genau aus diesem Grund hatte Fortinet bei einem eigenen kritischen Update im Oktober 2026 die technischen Details bewusst zunächst zurückgehalten, um Angreifern das Patch Diffing zu erschweren – ein Abwägen zwischen Transparenz und Schutzwirkung, das Barracuda bei dieser Lücke nicht getroffen hat. Für Betreiber bedeutet das: Sobald ein Patch verfügbar ist, sollte er als sofort nutzbare Blaupause für Angreifer behandelt werden, nicht als Zeitpuffer für die eigene Planung.

Die zweite Lehre betrifft die Backup-Funktion selbst. Dass die Integritätsprüfung einer Sicherungsdatei auf einem im Programmcode fest hinterlegten, für jeden Besitzer der Software identischen Schlüsselwort beruhte, ist kein Barracuda-spezifisches Detail, sondern ein wiederkehrendes Muster in Appliance-Software: Funktionen, die intern als vertrauenswürdig gelten – hier die Wiederherstellung einer eigenen Sicherung –, bekommen seltener dieselbe Sicherheitsprüfung wie öffentlich zugängliche Anmeldeformulare. Wer selbst Software mit Backup-, Import- oder Wiederherstellungsfunktionen betreibt oder beschafft, sollte im Beschaffungsgespräch gezielt danach fragen, wie genau die Integrität solcher Dateien geprüft wird – eine Prüfsumme allein beantwortet diese Frage nicht, wie der vorliegende Fall zeigt.

Falls Sie unsicher sind, ob Ihre E-Mail-Sicherheitsinfrastruktur aktuell auf dem richtigen Patch-Stand ist oder ob administrative Schnittstellen in Ihrem Netz ungeschützt erreichbar sind: Sprechen Sie mit uns. Wir sehen uns Ihre bestehende Infrastruktur an und helfen, einen Patch- und Zugriffsprozess aufzusetzen, der nicht erst nach einer veröffentlichten Exploit-Analyse reagiert.