Wer im Unternehmen Barracudas Email Security Gateway (ESG) zum Filtern von Spam und Phishing einsetzt, sollte sich diese Woche damit befassen, nicht erst nächsten Monat. Am 6. November 2026 veröffentlichten Sicherheitsforscher von watchTowr Labs einen funktionierenden Proof-of-Concept, der zeigt, wie sich zwei Barracuda-Schwachstellen kombinieren lassen, um vollen Root-Zugriff auf das Gerät zu erlangen – ganz ohne Anmeldung.
Das bedeutet: Ein Gerät, dem man vertraut, um schädliche E-Mails fernzuhalten, kann in den falschen Händen zum Einfallstor ins gesamte Netzwerk werden.
Was genau ist das Problem
Barracuda hat zwei getrennte Schwachstellen bestätigt: eine Autorisierungsumgehung vor der Anmeldung (CVE-2026-116606) und eine Command-Injection-Lücke (CVE-2026-111560), wie im offiziellen Advisory von Barracuda beschrieben. Keine der beiden Lücken ist für sich allein katastrophal. Gefährlich wird es erst in Kombination: Angreifer nutzen die Autorisierungsumgehung, um die Anmeldung komplett zu überspringen, und anschliessend die Command-Injection-Lücke, um Befehle mit Root-Rechten auszuführen – der höchsten Zugriffsebene des Systems, wie The Hacker News berichtet.
Die Demonstration von watchTowr, ebenfalls von The Hacker News dokumentiert, lässt keinen Zweifel daran, dass es sich um einen realistischen, ausnutzbaren Angriffsweg handelt – nicht um ein theoretisches Risiko.
Wer betroffen ist
Das Email Security Gateway ist von beiden CVEs betroffen. Barracuda hat die Patches BNSF-40425 für ESG-Version 9.4.017 und höher sowie BNSF-40430 für ältere Versionen veröffentlicht. Fünf weitere Barracuda-Produkte – ADC, WAF, WCC, BMA und WSG – sind nur von der Command-Injection-Lücke (CVE-2026-111560) betroffen und benötigen entsprechend nur diesen Patch, laut Barracudas Advisory.
Die gute Nachricht: Stand 6. November haben weder Barracuda noch Mandiant oder CISA eine aktive Ausnutzung gemeldet, und keine der beiden Schwachstellen steht im Known-Exploited-Vulnerabilities-Katalog (KEV), berichtet CyberKendra. Die schlechte Nachricht: Die Patches sind seit dem 2. November öffentlich verfügbar, und jetzt ist auch der detaillierte Proof-of-Concept publik. Erfahrungsgemäss liegt zwischen einem öffentlichen PoC und breiter realer Ausnutzung oft nur eine Frage von Tagen, nicht Wochen.
Was jetzt zu tun ist
- ESG-Version und Patch-Status sofort prüfen. Bei Versionen unter 9.4.017 ist BNSF-40430 nötig, ab 9.4.017 muss BNSF-40425 installiert sein.
- Weitere betroffene Barracuda-Geräte prüfen (ADC, WAF, WCC, BMA, WSG) und den Patch für CVE-2026-111560 anwenden, falls noch nicht geschehen.
- Nicht einfach auf Auto-Update vertrauen. Barracuda-Geräte werden oft cloud-verwaltet, aber bei zwei Patches innerhalb weniger Tage lohnt sich eine manuelle Kontrolle statt einer Annahme.
- Logs auf ungewöhnliche Admin-Aktivitäten seit dem 2. November überprüfen, besonders unbekannte Befehle oder Prozesse.
- Wer nicht weiss, wer das eigene Barracuda-Gerät verwaltet oder ob es gepatcht ist, sollte genau das heute klären – das ist das eigentliche Problem, nicht die CVE selbst.
Das grössere Muster
Dies ist bereits die dritte sicherheitskritische Lücke in unternehmensnaher Infrastruktur, über die wir in den letzten Tagen berichtet haben – nach Problemen bei SSH in Linux-Containern und bei SonicWalls VPN. Das Muster ist immer dasselbe: Vertrauenswürdige Sicherheits- und Netzwerkgeräte, genau jene Geräte, die KMU installieren und dann vergessen, werden zunehmend zum Schwachpunkt, den Angreifer kombinieren, um einzudringen. KI-gestützte Sicherheitsforschung beschleunigt zusätzlich, wie schnell solche Proofs-of-Concept vom Labor zum realen Angriffswerkzeug werden.
Für viele Schweizer KMU ist das eigentliche Problem nicht fehlendes Bewusstsein, sondern fehlende Kapazität. Niemand im Betrieb ist explizit dafür zuständig, jedes Vendor-Advisory für jedes Gerät im Netzwerk zu verfolgen. Genau das ist die Art von unspektakulärer, laufender Wartungsarbeit, die untergeht, bis etwas schiefgeht.
Flitz.ai, entwickelt von The Mejlerö Company, unterstützt Schweizer Unternehmen dabei, solche Infrastruktur im Griff zu behalten – mit Remote- und Vor-Ort-IT-Support, Microsoft-365- und Windows-Administration sowie Sicherheitsgrundlagen wie Endpoint-Schutz und Zwei-Faktor-Authentifizierung, damit Patch-Management nicht an einer einzelnen Person hängen bleibt. Wer unsicher ist, ob die eigenen Mail-Security- oder Netzwerkgeräte aktuell sind, kann mit einer kostenlosen Netzwerk-Analyse starten. Wir beobachten dieses Feld weiterhin und berichten über das, was als Nächstes wichtig wird.
Schweiz.