Bei CVE-2026-116606 handelt es sich um eine Authentifizierungsschwäche im ESG, über die sich die globale Konfiguration einer Appliance verändern lässt. CVE-2026-111560 erlaubt es nicht authentifizierten Angreifern, Betriebssystembefehle einzuschleusen, die mit Root-Rechten laufen.

Voraussetzung für einen erfolgreichen Angriff ist der Zugang zur administrativen Benutzeroberfläche (Admin UI) des Zielgeräts. „Eine erfolgreiche Ausnutzung setzt voraus, dass ein Angreifer Zugriff auf die Verwaltungsoberfläche eines betroffenen Produkts hat. In Kombination ausgenutzt, könnten diese Schwachstellen es einem Angreifer ermöglichen, Autorisierungskontrollen zu umgehen und Root-Zugriff auf das Gerät zu erlangen“, erklärte Barracuda. Das Unternehmen rät, den Zugriff auf vertrauenswürdige interne Netze zu beschränken und mit geeigneten Netzwerkzugriffskontrollen die Angriffsfläche zu verkleinern.

Am Montagabend ergänzte Barracuda seinen ursprünglichen Sicherheitshinweis um die Warnung vor laufenden Angriffen auf eine begrenzte Zahl von Kunden. „Barracuda hat umgehend einen umfassenden Behebungsprozess eingeleitet und Sicherheitspatches für betroffene Produkte veröffentlicht. Wir haben Ausnutzungsaktivitäten festgestellt, die eine kleine Zahl von Organisationen betreffen“, so der Hersteller. Wurde ein Patch nicht automatisch eingespielt, sollen Kunden ihn so schnell wie möglich manuell installieren. Wer die automatische Patch-Verteilung deaktiviert hat, solle sie wieder einschalten. Der Hinweis führt alle betroffenen Geräte und verfügbaren Patches auf.

Das ESG war bereits früher Ziel gezielter Angriffe. Vor drei Jahren schloss Barracuda die Lücke CVE-2023-7102, die die Gruppe UNC4841 als Zero-Day zur Ausführung beliebigen Codes ausgenutzt hatte. Im selben Jahr missbrauchte UNC4841 im Rahmen einer Spionagekampagne den Zero-Day CVE-2023-2868 gegen ESG-Appliances. Laut Barracuda wurde diese Lücke mindestens sieben Monate lang, seit spätestens Oktober 2022, ausgenutzt, um die bis dahin unbekannte Malware SeaSpy und Saltwater zu installieren und Daten von kompromittierten Geräten zu stehlen. Nach Angaben von Mandiant gehörte fast ein Drittel der damals kompromittierten Systeme Regierungsbehörden; die meisten davon wurden zwischen Oktober und Dezember 2022 angegriffen.

Barracuda wurde 2003 gegründet und zählt weltweit mehr als 200.000 Kunden, darunter kleine und mittlere Unternehmen, Großkonzerne und Managed Service Provider.