// HEISE ONLINE — CYBERSECURITY
Barracuda: Root-Sicherheitslücke bedroht unter anderem Email Security Gateway
Wenn die Voraussetzungen stimmen, können Angreifer etwa Barracuda Email Security Gateway attackieren und sich Root-Rechte verschaffen.
Barracuda Email Security Gateway (ESG), Load Balancer Application Delivery Controller (ADC), Message Archiver (BMA), WAF Control Center (WCC), Web Application Firewall (WAF) und Web Security Gateway (WSG) sind verwundbar. Sicherheitspatches stehen zum Download bereit.
Wie aus einer Warnmeldung hervorgeht, haben die Entwickler zwei Sicherheitslücken geschlossen: CVE-2026-116606 (CVSS 9.3, „kritisch“) und CVE-2026-111560 (CVSS 8.6, „hoch“). Angreifer können beide Schwachstellen aber nur ausnutzen, wenn sie Zugriff auf das Admin-Interface der Produkte haben.
Admins sollten deshalb prüfen, ob dieses Interface öffentlich erreichbar ist, und den Zugriff gegebenenfalls auf vertrauenswürdige interne Netze beschränken. Das empfiehlt sich generell für Webinterfaces, um die Angriffsfläche zu verkleinern.
Über die erste Lücke (CVE-2026-116606) können Angreifer Autorisierungskontrollen umgehen, über die zweite (CVE-2026-111560) eigene Befehle ausführen. Die erste Lücke betrifft nur ESG, die zweite alle genannten Produkte. Kombinieren Angreifer beide Schwachstellen, können sie sich der Warnmeldung zufolge Root-Rechte verschaffen. Aus so einer Position erlangen Angreifer in der Regel die volle Kontrolle über Geräte.
Die Entwickler versichern, die Sicherheitsprobleme mit den folgenden Patches gelöst zu haben. Normalerweise werden diese automatisch installiert. Admins sollten aber prüfen, ob das geschehen ist, und die Patches andernfalls von Hand einspielen. Wer das automatische Patchen abgeschaltet hat, sollte es laut Barracuda wieder aktivieren. Bei stark veralteter Firmware können mehrere Updates nötig sein. Der Hersteller macht keine Angaben dazu, ob Angreifer die Lücken bereits ausnutzen. Das kann sich aber schnell ändern, deshalb sollten Admins mit der Installation der Sicherheitsupdates nicht zu lange zögern.
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.
Immer informiert bleiben: Klicken Sie auf das Plus-Symbol an einem Thema, um diesem zu folgen. Wir zeigen Ihnen alle neuen Inhalte zu Ihren Themen.
Mehr erfahren.