Über einen alternativen Zugangsweg kann ein Angreifer ohne Anmeldung die Import-Funktion des Barracuda Email Security Gateway aufrufen und ein präpariertes Backup einspielen – damit überschreibt er die globale Konfiguration des Mail-Gateways. Kombiniert mit der Command Injection CVE-2026-111560 führt das bis zu Root-Rechten. Barracuda bestätigt Angriffe auf einzelne Organisationen; Patches sind verfügbar.
Advisory als PDF herunterladenDas ESG prüft die Berechtigung nicht auf allen Wegen, über die seine Verwaltungsfunktionen erreichbar sind (CWE-288, Authentication Bypass über einen alternativen Pfad). Ein Angreifer, der die Administrationsoberfläche erreicht, kann ohne Anmeldung den Konfigurations-Import auslösen und ein präpariertes, kompatibles Backup zurückspielen. Zusammen mit CVE-2026-111560 (Command Injection im Zeitzonen-Feld, Root-Rechte) entsteht eine Kette bis zur vollständigen Geräteübernahme.
| ESG-Firmware | Verwundbar | Fixversion |
|---|---|---|
| ESG ab 9.4.017 | vor 9.4.0.030 | Patch BNSF-40425 |
| ESG vor 9.4.017 | alle | Patch BNSF-40430 |
| Zielstand Firmware | < 9.4.0.030 | 9.4.0.030 oder neuer |
Betroffen ist laut CVE-Eintrag (Mandiant als CNA) jede ESG-Firmware vor 9.4.0.030. Barracuda verteilt die Patches automatisch – wer Auto-Patching abgeschaltet hat, muss manuell nachziehen. Die Kettenlücke CVE-2026-111560 betrifft zusätzlich Load Balancer ADC, WAF, WAF Control Center, Web Security Gateway und Message Archiver.
Regulatorischer Hinweis: Ein bestätigter Zugriff auf das Mail-Gateway betrifft regelmäßig personenbezogene Daten und kann eine meldepflichtige Verletzung darstellen – DSGVO unverzüglich (i. d. R. 72 h), NIS-2 nach den für Sie geltenden Fristen. Die Meldung bleibt bei Ihnen; wir unterstützen bei Bewertung und Dokumentation.
In dieser Reihenfolge – Exposition vor Patch, Patch vor Entwarnung.
9.4.017 muss BNSF-40425 installiert sein, darunter BNSF-40430. Zielstand ist 9.4.0.030 oder neuer; bei veralteter Firmware ggf. mehrere Update-Schritte.CVE-2026-111560 gleich mitprüfen.Zur Einordnung: Das sind allgemeine Prüfansätze von Argos, abgeleitet aus der Fehlerbeschreibung, keine bestätigten Indikatoren. Angreifer und Umfang der Ausnutzung sind nicht veröffentlicht. Ein unauffälliges Ergebnis schließt einen Zugriff daher nicht aus.
Wichtig: Der Patch schließt die Lücke, setzt aber eine bereits eingespielte Fremdkonfiguration nicht zurück. Wer das Mail-Gateway kontrolliert, sieht die gesamte E-Mail-Kommunikation – deshalb gehört der Konfigurationsabgleich zwingend mit auf den Prüfplan.
Barracuda Advisory (02.11., Update 09.11.2026) · CVE-Record (Mandiant, MNDT-2026-0042) · NVD · CISA KEV (10.11.2026, Frist 13.11.2026). Stand 11.11.2026.
Für genau diese Schwachstelle ausgewählt – nicht für jede.
SOFORTMASSNAHME
Die Schwachstelle wird aktiv ausgenutzt; Indikatoren hat der Hersteller bislang nicht veröffentlicht. Vor dem Patch gehört geprüft, ob sie bei Ihnen bereits gegriffen hat. Über den Notfallkontakt erreichen Sie uns rund um die Uhr; für Kunden mit IR-Vertrag mit Rückruf innerhalb von 30 Minuten.
LAUFENDE LEISTUNG
Worauf wir im Cyber Defense Center bei dieser Schwachstelle achten: Ein Konfigurations-Import oder Admin-Zugriff auf das ESG von unbekannter Quelle. Das setzt voraus, dass die dafür nötigen Logquellen angebunden sind. Auffälligkeiten eskalieren wir rund um die Uhr.
STRUKTURELL
Solange der Dienst aus dem Internet erreichbar ist, bleibt er Ziel. Mittelfristig kann ein ZTNA-Ansatz diese Exposition verringern. Kurzfristig zählt der Patch.
Unsere Leistungen ergänzen bestehende Hersteller- und Supportverträge, sie ersetzen sie nicht. Sie arbeiten bereits mit einem MDR-Anbieter? Dann holen Sie zu dieser Schwachstelle eine Zweitmeinung ein.