Es handelt sich um eine Umgehung der Autorisierung vor der Authentifizierung (CVE-2026-116606, CVSS-Wert 9.3) sowie um eine Befehlsinjektion (CVE-2026-111560, CVSS-Wert 8.6).
CVE-2026-116606 betrifft ausschließlich das Email Security Gateway. CVE-2026-111560 wirkt sich dagegen auf mehrere Produktlinien aus:
- Email Security Gateway
- Load Balancer Application Delivery Controller
- Message Archiver
- WAF Control Center
- Web Application Firewall
- Web Security Gateway
„Eine erfolgreiche Ausnutzung setzt voraus, dass ein Angreifer Zugriff auf die administrative Oberfläche eines betroffenen Produkts hat", erklärte Barracuda. „Werden die Schwachstellen kombiniert ausgenutzt, könnte ein Angreifer die Autorisierungskontrollen umgehen und Root-Zugriff auf das Gerät erlangen."
Organisationen, die ihre Verwaltungsoberflächen nicht ins Internet stellen, sind laut Barracuda weniger anfällig für diesen Angriffsweg. Der Hersteller empfiehlt, den Zugang zu administrativen Oberflächen auf vertrauenswürdige interne Netze zu beschränken und die Exposition mit geeigneten Netzwerkzugriffskontrollen zu begrenzen.
„Kunden, die diese Produkte einsetzen, sollten überprüfen, ob ihre Systeme die neuesten Firmware-Versionen verwenden und alle Sicherheitspatches erhalten haben", so Barracuda weiter. Liege die Firmware eines Geräts mehrere Versionen zurück, seien unter Umständen mehrere aufeinanderfolgende Updates nötig.