Das Barracuda Email Security Gateway (ESG) steht als Schleuse vor dem Mailverkehr vieler Unternehmen und Behörden. Genau an diesem exponierten Punkt haben die Sicherheitsforscher von watchTowr Labs Anfang November zwei Lücken vorgeführt, die zusammengenommen eine unauthentifizierte Remote-Code-Execution mit Root-Rechten erlauben. Barracuda hat die Schwachstellen am 2. November 2026 mit der Firmware-Version 9.4.0.030 geschlossen. Aktive Ausnutzung ist nach Angaben des Herstellers bislang nicht bestätigt, doch die Exploit-Details liegen offen.

Die beiden beteiligten CVEs sind CVE-2026-116606 (Pre-Auth Authorization Bypass, CVSS 9.3, nur ESG) und CVE-2026-111560 (OS Command Injection, CVSS 8.6, mehrere Barracuda-Produkte). Letztere betrifft laut Hersteller nicht nur das ESG, sondern auch den Load Balancer ADC, den Message Archiver, das WAF Control Center, die Web Application Firewall und das Web Security Gateway. Für ESG-Appliances behebt das Update auf 9.4.0.030 beide Lücken in einem Rutsch.

So funktioniert die Angriffskette

Ausgangspunkt ist die Web-Oberfläche des ESG unter /cgi-mod/index.cgi. Dort kann ein Nutzer sein Passwort ändern – und genau in diesem Code-Pfad liegt der erste Fehler: Schlägt die Passwortänderung fehl, gibt die Anwendung nicht etwa einen Abbruch zurück, sondern reicht das Objekt der Rolle des Login-Bildschirms weiter und läuft mit dessen Rechten weiter. Ein unauthentifizierter Angreifer kann also einen gezielt scheiternden Passwort-Wechsel schicken und bekommt anschließend weitere Funktionen angeboten, als wäre er eingeloggt.

Auf diesen Fuß in der Tür setzt watchTowr den zweiten Schritt. Die Appliance erlaubt es, Backup-Dateien einzuspielen. Eine solche Backup-Datei ist ein TAR-Archiv mit Konfigurationsdaten; darin findet sich ein Feld system_timezone, dessen Inhalt beim Restore ohne Prüfung in eine Shell-Pipeline übernommen wird. Der verantwortliche Aufruf lautet laut Analyse etwa sed -i 's#TZ=.*#TZ=$system_timezone#' – Shell-Metacharakter inklusive. Wer in das Feld statt einer Zeitzone einen Befehl wie UTC#';touch /tmp/watchTowr;# schreibt, lässt diesen Befehl mitlaufen. Da das zugehörige Perl-Skript fix_tz.pl per Sudo mit Root-Rechten startet, bekommt der Angreifer am Ende eine Shell als Root.

Symbolbild: Offenes Vorhängeschloss

Bild: Symbolbild – Padlock unlocked von Lee Haywood, Lizenz CC BY-SA 2.0, via Wikimedia Commons.

Der Checksummen-Scherz

Damit ein Backup als „gültig“ akzeptiert wird, hängt das ESG eine Prüfsumme an jede Datei. Interessant: Das Secret, mit dem diese Checksumme gebildet wird, ist im Code fest hinterlegt und lautet – gleichsam als Easter-Egg für die Forscher – „Barracuda Networks is your new best friend“. Angreifer, die diesen Spruch kennen, können eigene Backup-Dateien mit beliebigem Inhalt so signieren, dass die Appliance sie als authentisch ansieht. watchTowr nutzt den Titel seines Blog-Eintrags dementsprechend augenzwinkernd. Das Ergebnis bleibt aber unverändert ernst: Der Mechanismus, der eigentlich manipulierte Backups abfangen soll, ist wirkungslos.

Welche Modelle betroffen sind

watchTowr nennt in seinem Bericht ausdrücklich das Modell V300 als getestete ESG-Variante; die zugrunde liegende Firmware ist allerdings in allen aktuellen ESG-Appliances die gleiche, sodass alle Modelle anfällig sind, die vor 9.4.0.030 betrieben werden. Für die beiden anderen Produktfamilien mit Command-Injection-Lücke (ADC, Archiver, WAF CC, WAF, Web Security Gateway) nennt Barracuda in seinen Advisories eigene Zielversionen; hier reicht die Aktualisierung auf die jeweils aktuelle Firmware.

Stand der Ausnutzung

Zum Zeitpunkt des Patches hatte Barracuda keine Hinweise auf tatsächliche Angriffe. Weder BleepingComputer noch die CISA haben eine aktive Ausnutzung in den Umlauf gebracht; im KEV-Katalog der US-Behörde steht der Fall (Stand 7. November 2026) nicht. Das allein ist allerdings kein Grund zur Entwarnung. Die watchTowr-Analyse ist detailliert genug, dass fähige Angreifer sie in kurzer Zeit nachbauen können. Ein öffentliches Erkennungs-Tool hat watchTowr bereits auf GitHub veröffentlicht; Barracuda empfiehlt selbst, zügig zu aktualisieren.

Was du jetzt tun solltest

Betreiber eines ESG-Geräts prüfen zuerst die Firmware-Version. Über die Weboberfläche findet man sie unter Advanced → Firmware Update; auf der Shell eines Geräts reicht ein Blick in die Versionsdatei:

cat /opt/mail/version
# oder im Barracuda-CLI
show version

Ist eine Version kleiner als 9.4.0.030 im Einsatz, steht das Firmware-Update ganz oben auf der Liste. Barracuda rollt die neue Firmware über die eigene Update-Infrastruktur aus; für Kunden, die den automatischen Download aktiviert haben, lief das Update meist in den vergangenen Tagen bereits durch. Nach der Aktualisierung lohnt ein Blick in die Audit- und Login-Logs des Gateways:

grep -iE 'cgi-mod/index|backup|restore|fix_tz' /var/log/httpd/*log
grep -i sudo /var/log/secure | grep fix_tz.pl

Treffer auf gescheiterte Passwort-Änderungen aus dem Internet, auf Backup-Uploads von ungewöhnlichen IP-Adressen oder auf Sudo-Aufrufe von fix_tz.pl außerhalb legitimer Wartungsfenster sollten als Alarmsignal gelten. Da ein erfolgreicher Angriff Root-Rechte auf der Appliance liefert, kann eine kompromittierte ESG-Box im Zweifel nur durch Factory-Reset und saubere Wiederherstellung aus einem verifizierten Backup wieder vertrauenswürdig werden. Zusätzlich ist es sinnvoll, das Webinterface des ESG grundsätzlich nicht aus dem Internet erreichbar zu machen, sondern nur aus einem Management-Netz.

Für Betreiber der weiteren betroffenen Produktlinien (ADC, Message Archiver, WAF Control Center, WAF, Web Security Gateway) gilt dieselbe Logik auf die eigene Firmware angewandt: aktuelle Version einspielen, Logs sichten, administrative Oberflächen aus dem offenen Netz nehmen.

Quellen

Bildnachweis