Wer die Verwaltungsoberfläche eines anfälligen Barracuda Email Security Gateway erreichen konnte, konnte zwei Schwachstellen kombinieren und so Root-Zugriff erlangen, die höchste Berechtigungsstufe auf dem Gerät. Barracuda teilte am 9. November mit, dass das Unternehmen Angriffe beobachtet habe, die eine kleine Zahl von Organisationen betrafen. Eine genaue Zahl nennt der Sicherheitshinweis nicht.
Am 10. November nahm die US-Behörde für Cybersicherheit und Infrastrukturschutz (CISA) beide Schwachstellen, CVE-2026-116606 und CVE-2026-111560, in ihren Katalog bekannter ausgenutzter Schwachstellen auf. Für beide Einträge nennt sie den 13. November als Frist zur Behebung und markiert sie für eine forensische Erstprüfung. Der 13. November ist die Frist für Bundesbehörden. CISA erläuterte in einer Mitteilung vom 9. November, dass die verbindliche operative Richtlinie 26-04 für die zivilen Behörden der Bundesexekutive gilt.
Die beiden Schwachstellen funktionieren unterschiedlich. Laut Barracudas Sicherheitshinweis lässt sich mit der ersten die Authentifizierung am Email Security Gateway umgehen, wenn der Angreifer dessen Verwaltungsoberfläche erreichen kann. Die zweite ermöglicht es einem Angreifer mit administrativem Zugriff, Befehle mit Root-Rechten auszuführen. Das Gateway ist das einzige Produkt, das Barracuda für beide Schwachstellen aufführt. Bei fünf weiteren genannten Produkten betrifft der Hinweis nur die Befehlseinschleusung.
Für die Verantwortlichen ist die erste Frage, wer die Verwaltungsoberfläche erreichen kann. Barracuda empfiehlt, den Zugriff auf vertrauenswürdige interne Netze zu beschränken. Danach sollten sie Firmware und Patch-Status direkt am Gerät prüfen: Für Gateway-Firmware ab 9.4.017 nennt Barracuda den Patch BNSF-40425, für frühere Versionen BNSF-40430. Wurde der passende Patch nicht automatisch installiert, rät das Unternehmen zur möglichst schnellen manuellen Installation. Liegt die Firmware mehrere Versionen zurück, kann mehr als ein Update nötig sein.
Offen bleibt, ob vor dem Patch bereits jemand eingedrungen ist. Ein installierter Patch zeigt, welcher Schutz jetzt vorhanden ist. Er zeigt nicht, wer das Gerät vorher erreicht hat. Deshalb ist die Kennzeichnung für eine forensische Erstprüfung im Katalog auch nach dem Patch relevant.