Bei CVE-2026-116606 handelt es sich um eine Umgehung der Autorisierung: Ein nicht angemeldeter Angreifer kann damit ein präpariertes Konfigurations-Backup einspielen und die globalen Einstellungen der Appliance verändern. CVE-2026-111560 ist eine Befehlsinjektion, die Kommandos als Root ausführt, normalerweise aber ein Administratorkonto voraussetzt. Auf dem Email Security Gateway verschafft die Autorisierungsumgehung dem Angreifer genau diesen Zugang – in Kombination führt das zu Root ohne Login.

Die Autorisierungsumgehung betrifft ausschließlich das Email Security Gateway. Die Befehlsinjektion reicht in fünf weitere Produkte hinein, dort ist jedoch weiterhin ein Administratorkonto erforderlich. Mandiant, das beide CVE-Einträge vergeben hat, bewertet die Umgehung mit 9,3 von 10 und die Befehlsinjektion mit 8,6. Barracuda hat für jedes betroffene Produkt einen Patch bereitgestellt und listet die korrigierten Firmware-Stände in seinem Sicherheitshinweis auf. Für das Email Security Gateway ist das Problem ab Version 9.4.0.030 behoben.

Der Hinweis nennt drei Schritte:

  • Für jedes betroffene Produkt den Patch einspielen beziehungsweise auf die genannte fehlerbereinigte Firmware aktualisieren.
  • Wenn ein sofortiges Patchen nicht möglich ist, die Administrationsoberfläche der Appliance auf vertrauenswürdige interne Netze beschränken.
  • Falls das automatische Patchen abgeschaltet wurde, es wieder aktivieren.

In seiner technischen Analyse verfolgte watchTowr die Kette durch den Code der Appliance. Eine fehlgeschlagene Passwortänderung bricht die Anfrage nicht ab, sondern gibt dem Angreifer eine Rolle mit geringen Rechten zurück – dadurch bleibt eine Funktion zum Wiederherstellen von Backups auch für nicht angemeldete Nutzer erreichbar. Diese Funktion nimmt ein hochgeladenes Backup entgegen; in den wiederhergestellten Daten steckt ein Zeitzonenwert, den die Appliance später als Shell-Befehl mit Root-Rechten ausführt. Barracuda sichert Backups zwar mit einer Prüfsumme ab, das dafür verwendete Geheimnis ist jedoch fest im Code hinterlegt, sodass ein Angreifer eine gültige Prüfsumme fälschen kann. watchTowr demonstrierte den Angriff, indem die Firma als Root eine Datei auf der Appliance anlegte.

Stand dieser Woche ist keine der beiden Schwachstellen im KEV-Katalog der US-Behörde CISA verzeichnet, und es gibt keine öffentlichen Berichte, die eine von ihnen mit einem Angriff in Verbindung bringen. watchTowr hat zusätzlich ein Erkennungswerkzeug veröffentlicht, das prüft, ob eine Appliance verwundbar ist; einen Exploit hat die Firma nicht publiziert.

Das Email Security Gateway war bereits 2023 Ziel von Angriffen einer als UNC4841 verfolgten Gruppe, die eine andere Lücke, CVE-2023-2868, als Zero-Day ausnutzte. Dieser Fall steht in keinem Zusammenhang mit den beiden nun geschlossenen Schwachstellen; auch sonst verweist nichts auf einen Angreifer.