LONDON (IT BOLTWISE) – Barracuda hat zwei zusammenkettbare Schwachstellen in seinem Email Security Gateway gepatcht. Angreifer können damit ohne Login zunächst eine Konfigurationssicherung manipulieren und anschließend Root-Kommandos ausführen. Besonders kritisch ist, dass die Kette das sonst benötigte Administrator-Login umgehen kann. Betroffene Systeme sollen zeitnah auf das gepatchte Firmware-Release 9.4.0.030 oder neuer aktualisieren.
Mit einem Update gegen zwei miteinander verkettbare Lücken erhöht Barracuda den Sicherheitsstandard seines Email Security Gateway spürbar, auch wenn die Meldung zunächst nach „klassischen“ Schwachstellen klingt. Konkret geht es um zwei CVEs, die sich in einer bestimmten Reihenfolge ausnutzen lassen: Zuerst kann eine authorization bypass (CVE-2026-116606) eine zuvor geschützte Backup-Wiederherstellung anstoßen, obwohl der Angriff nicht über eine eingeloggte Admin-Session verfügt. Im zweiten Schritt folgt eine command injection (CVE-2026-111560), die sonst typischerweise nur nach erfolgreicher Administrator-Authentifizierung direkt als Root ausführen kann. Die Brisanz entsteht genau aus dieser Kombination: Zusammen erlauben beide Flaws dem Angreifer, den Appliance-Kontext bis auf Root zu hebeln, ohne einen Login durchführen zu müssen.
Technisch betrachtet liegt das Kernproblem in der Art, wie das System bei fehlerhaften Authentifizierungs- oder Berechtigungsaktionen reagiert. Laut der Analyse einer Sicherheitsfirma wird beim misslungenen Versuch, ein Passwort zu ändern, nicht konsequent abgebrochen, sondern der Request in einen niedrig privilegierten Rollenpfad umgeleitet. Dadurch bleibt eine Funktion offen, die eigentlich an einen korrekten, eingeloggten Ablauf gebunden sein sollte: das Backup-Restore. Der Mechanismus ist zweistufig: Ein unautorisierter Angreifer kann ein präpariertes Backup hochladen, woraufhin beim Restore Datenstrukturen übernommen werden, die später weiterverarbeitet werden. Entscheidend ist dabei ein Zeitwellen- bzw. timezone-Wert aus dem Restore-Datensatz, der zu einem Shell-Aufruf führt und auf der betroffenen Appliance Root-Rechte erhält.
Dass Barracuda Backups überhaupt gegen Manipulation absichert, ist grundsätzlich nachvollziehbar: Ein grundlegender Schutzmechanismus sieht einen Checksum-Mechanismus vor. In der beobachteten Kettenlogik lässt sich dieser Schutz jedoch unterlaufen, weil der Geheimschlüssel zur Berechnung der Checksum im Code fest verankert sein soll. Das macht die Integritätsprüfung in der Praxis angreifbar, sobald ein Angreifer die relevanten Parameter ermitteln oder ableiten kann. Die Sicherheitsfirma demonstrierte die Wirksamkeit der Kette offenbar so, dass sie auf der Appliance eine Datei mit Root-Rechten schreiben konnte. In der Summe ergibt das ein Muster, das im Betrieb von Mail-Security-Appliances besonders unangenehm ist: Nicht nur eine einzelne, klar abgegrenzte Schwachstelle führt zu einer Kompromittierung, sondern eine Prozesskette aus „Guardrails“ und Folgefunktion entsteht, die sich wie eine Abfolge von legitim wirkenden Schritten anfühlt.
Für die konkrete Einordnung liefert die CVE-Vergabe die nächsten Ankerpunkte. Die authorization bypass (CVE-2026-116606) betrifft laut Beschreibung ausschließlich das Email Security Gateway. Die command injection (CVE-2026-111560) hingegen greift auch auf mehrere weitere Produkte über; dort wird aber weiterhin ein Administrator-Account benötigt, wodurch die „ohne Login zu Root“-Eigenschaft in dieser Breite nicht automatisch gilt. Die Risikoeinschätzung orientiert sich an Bewertungswerten, die Mandiant für die beiden Lücken vergeben hat: 9,3 von 10 für die authorization bypass und 8,6 von 10 für die command injection. Barracuda hat für jedes betroffene Produkt Patches bereitgestellt und führt in einem Security Advisory die jeweils fixierten Firmware-Standards auf. Für das Email Security Gateway wird als Fix-Version 9.4.0.030 genannt; Systeme, die diese Version oder eine neuere bereits installiert haben, sollten damit aus dem unmittelbaren Verwundbarkeitskorridor heraus sein.
Neben dem Patch-Plan gibt das Advisory auch eine sinnvolle Übergangsschiene, falls ein Update nicht sofort durchführbar ist. Erstens sollen die betroffenen Produkte entweder unmittelbar gepatcht oder auf die in der Beratung genannten fixierten Firmware-Versionen aktualisiert werden. Zweitens wird, wenn das Patchen „at once“ nicht möglich ist, empfohlen, die Administrationsechnittstelle nur auf vertrauenswürdige interne Netzwerke zu beschränken. Drittens nennt die Beratung einen operativen Punkt, der in der Praxis häufig übersehen wird: Falls die automatische Patchfunktion deaktiviert wurde, soll sie wieder eingeschaltet werden. Solche Maßnahmen ändern zwar nicht die technische Schwachstelle, reduzieren aber die Angriffsfläche erheblich, insbesondere wenn externe Zugänge auf die Admin-Endpoints bisher existieren.
Historisch und marktseitig ist die Meldung zudem in eine breitere Sicherheitsdebatte eingebettet, denn das Email Security Gateway steht nicht zum ersten Mal im Fokus aktiver Ausnutzung. Laut der Quelle wurde die Appliance bereits in den 2023er Angriffen durch eine Gruppe, die unter UNC4841 verfolgt wird, angegriffen – allerdings im damaligen Fall über eine andere Schwachstelle, CVE-2023-2868, beschrieben als Zero-Day. Die neue Paarung aus CVE-2026-116606 und CVE-2026-111560 ist dabei ausdrücklich nicht mit dem früheren Fall verknüpft; auch in den verfügbaren Informationen gibt es keinen öffentlich dokumentierten Hinweis, dass beide aktuellen Lücken bereits in realen Angriffen ausgenutzt würden. Interessant ist außerdem: Zum Zeitpunkt der Meldung erscheinen beide Schwachstellen noch nicht im CISA Known Exploited Vulnerabilities (KEV) Katalog, und es existiert laut Beschreibung kein öffentliches Reporting, das einen Angriff bestätigt. Dennoch bedeutet „keine öffentliche Ausnutzung bekannt“ nicht „geringe Dringlichkeit“ – gerade Kettenlücken erhöhen oft den Nutzen automatisierter Scans, weil sich damit mehrere Ziele in einer Sitzung abarbeiten lassen.
Für Unternehmen heißt das vor allem eins: Mail-Security ist eine Infrastruktur-Schicht, in der Fehlgriffe besonders teuer sind, weil sie eng mit der Zustellung und Filterung von Nachrichten verknüpft ist. Wer ein Email Security Gateway betreibt, sollte den Patchprozess daher nicht nur als „Regelwerk erfüllen“ verstehen, sondern als Teil eines umfassenderen Härtungsplans: administrative Schnittstellen sollten segmentiert werden, Logging- und Alarmierungskonzepte müssen die für Admin-Funktionen relevanten Events abdecken, und Firmwarestände sollten regelmäßig gegen die Herstellerangaben geprüft werden. Die Sicherheitsfirma hat außerdem einen Detektions-Ansatz bereitgestellt, der prüfen soll, ob eine Appliance verwundbar ist; ein veröffentlichter Exploit wird hingegen nicht genannt. In der Praxis kann das helfen, den eigenen Bestand schnell einzuschätzen und das Update-Fenster priorisiert zu setzen – besonders dann, wenn mehrere Appliances zentral oder in unterschiedlichen Standorten laufen.
Auch wenn die konkrete Kettenlogik „nur“ zwei CVEs betrifft, zeigt die Meldung ein typisches Muster moderner Sicherheitsrisiken: Die eigentliche Gefahr entsteht oft nicht in der ersten Fehlerstelle, sondern in der Kombination aus einer Umgehung von Autorisierung und einer nachgelagerten Funktion, die später wiederum mit höheren Rechten arbeiten darf. Für Security-Teams ist das ein Hinweis, bei Tests künftig nicht nur Single-CVE-Szenarien zu betrachten, sondern auch Prozesspfade innerhalb einer Appliance-Software. Für IT-Leiter wiederum ist der operative Kern klar: Sobald ein Patch für produktiv genutzte Mail-Security-Appliances verfügbar ist, sollten Wartungsfenster und Rollout-Mechanismen so geplant werden, dass Updates wie 9.4.0.030 zeitnah landen. Denn bei Ketten, die Root ohne Login möglich machen, verschiebt sich die Restunsicherheit schon mit geringen Verzögerungen vom „theoretischen Risiko“ zu einem realistischen Incident-Szenario.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Barracuda schließt Chain-Lücke in Email Security Gateway: Root ohne Login" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Barracuda schließt Chain-Lücke in Email Security Gateway: Root ohne Login" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Barracuda schließt Chain-Lücke in Email Security Gateway: Root ohne Login« bei Google Deutschland suchen, bei Bing oder Google News!