// HEISE ONLINE — CYBERSECURITY
Angriffe auf Cisco BroadWorks, Barracuda ESG und weitere Produkte beobachtet
Derzeit laufen Angriffe auf Cisco BroadWorks, Barracuda ESG, andere Barracuda-Netzwerkgeräte und weitere Produkte.
This article is also available in
English.
It was translated with technical assistance and editorially reviewed before publication.
Angriffe auf Cisco BroadWorks, Barracuda ESG, andere Barracuda-Netzwerkgeräte, Google Chrome, Openwave Messaging und Microsoft Outlook wurden jüngst beobachtet. Aktualisierungen stehen bereit. IT-Verantwortliche sollten sie schleunigst anwenden.
Davor warnt die US-amerikanische IT-Sicherheitsbehörde CISA aktuell. In Ciscos BroadWorks können nicht authentifizierte Angreifer aus dem Netz sensible Konfigurationsinformationen aus dem Open Client Interface (OCI) auslesen, da der XML-Parser das Auflösen externer XML-Entities erlaubt. Dazu schicken sie präparierte XML-Nachrichten an den OCI-P-Dienst und lesen mit den Rechten des BroadWorks-Users Inhalte sensibler Dateien aus dem Dateisystem aus, die der Server an sie zurücksendet (CVE-2026-20320, CVSS 7.5, Risiko „hoch“). Cisco hat am 19. August eine Sicherheitsmitteilung und Updates zum Stopfen des Lecks veröffentlicht.
In der vergangenen Woche hat Barracuda vor zwei Sicherheitslücken gewarnt. Angreifer mit Zugriff auf das Admin-Interface von Barracuda-Appliances können die Lücken missbrauchen, um Autorisierungskontrollen im Barracuda Email Security Gateway zu umgehen (CVE-2026-116606, CVSS4 9.3, Risiko „kritisch“) und in Barracuda-Appliances Befehle an das Betriebssystem einzuschleusen, sofern eine Anmeldung mit Admin-Rolle möglich ist (CVE-2026-111560, CVSS4 8.6, Risiko „hoch“). Diese Lücken werden nun offenbar auch aktiv angegriffen.
Der Openwave Webtop Media Transcoder setzt die vom Admin gesetzten Dateityp-Beschränkungen für Konvertierungen nicht korrekt um. Angemeldete Nutzerinnen und Nutzer können dadurch eigentlich nicht dafür vorgesehene Dateitypen verarbeiten und umwandeln, sofern sie dabei die Webmail-Oberfläche umgehen (CVE-2026-111793, CVSS 4.3, Risiko „mittel“)
Die weiteren Angriffswarnungen sind bereits seit Dienstag bekannt: Google hat in Chrome die Sicherheitslücke CVE-2026-125350 (laut CVE-Eintrag CVSS 8.8, Risiko „hoch“) mit der Aktualisierung aus der Nacht zum Dienstag gestopft, während Microsoft sie in Edge schließen will. Microsoft hat am Dienstagabend mit den Patchday-Softwareflicken zudem ein Sicherheitsleck in Outlook ausgebessert, das bereits in freier Wildbahn angegriffen wird (CVE-2026-124194, CVSS 6.5, Risiko „mittel“).
Ob Sicherheitslücken, Viren oder Trojaner – alle sicherheitsrelevanten Meldungen gibts bei heise security
Ausführliche Informationen zum Versandverfahren und zu Ihren
Widerrufsmöglichkeiten erhalten Sie in unserer
Datenschutzerklärung.
Immer informiert bleiben: Klicken Sie auf das Plus-Symbol an einem Thema, um diesem zu folgen. Wir zeigen Ihnen alle neuen Inhalte zu Ihren Themen.
Mehr erfahren.