CVE-2026-116606: Authentifizierungsumgehung im Barracuda Email Security Gateway
Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.CVE-2026-116606 betrifft das Barracuda Email Security Gateway in Versionen vor 9.4.0.030. Die Schwachstelle ermöglicht einem nicht authentifizierten Angreifer über das Netzwerk den Aufruf einer Funktion zum Import von Konfigurationen. Ein präpariertes, kompatibles Sicherungsarchiv kann wiederhergestellt werden, wodurch sich die globale Konfiguration der Appliance unbefugt verändern lässt.
Die Schwachstelle wird als Authentifizierungsumgehung über einen alternativen Pfad oder Kanal geführt (CWE-288). Der Angriff kann über das Netzwerk erfolgen, benötigt keine Privilegien und keine Nutzerinteraktion.
Die betroffene Funktion importiert Konfigurationen. Gelingt die Umgehung der Anmeldung, kann ein Angreifer ein kompatibles, präpariertes Sicherungsarchiv wiederherstellen. Die dokumentierte Folge ist eine unbefugte Änderung der globalen Konfiguration der Appliance. Barracuda Networks bezeichnet die Schwachstelle intern als Pre-Authentication Authorization Bypass und Command Injection; der vollständige Angriffsumfang ist dem Barracuda-Advisory zu entnehmen.
Mandiant führt die Veröffentlichung unter der Kennung MNDT-2026-0042. Barracuda Networks stellt für die betroffenen Installationen eine Fehlerbehebung in Version 9.4.0.030 bereit.
Maßnahmen für betroffene Systeme
Für Barracuda Email Security Gateway Appliances vor Version 9.4.0.030 gelten folgende Maßnahmen:
Betroffenheit und Patchstatus prüfen. Ermitteln, welche betriebenen Appliances eine Version vor 9.4.0.030 einsetzen.
Upgrade durchführen. Betroffene Systeme auf Version 9.4.0.030 oder höher aktualisieren.
Managementzugriff begrenzen. Das Management-Interface nicht öffentlich zugänglich machen und den Zugriff auf vordefinierte IP-Adressen beschränken.
Betroffene Systeme priorisieren. Systeme mit der betroffenen Softwareversion in der Bearbeitung vorziehen.
Monitoring etablieren. Schwachstellen- und Vendor-Risk-Monitoring fortlaufend durchführen.
NIS-2-pflichtige Organisationen in Deutschland und Österreich, die Barracuda ESG-Appliances betreiben, sollten die Betroffenheitsprüfung und eingeleitete Maßnahmen dokumentieren. In der Schweiz gilt das revidierte Informationssicherheitsgesetz (ISG) mit Meldepflicht ans BACS. Werden durch eine ausgenutzte Schwachstelle personenbezogene Daten kompromittiert, greift zudem die 72-Stunden-Meldepflicht nach DSGVO Art. 33 gegenüber der zuständigen Aufsichtsbehörde.
Extern erreichbare ESG-Appliances einordnen
Barracuda Email Security Gateway Appliances können innerhalb der Infrastruktur eines Unternehmens betrieben und extern erreichbar sein. External Attack Surface Management unterstützt dabei, extern erreichbare ESG-Appliances als Assets zu identifizieren und in die technische Priorisierung einzubeziehen.
LocateRisk macht extern erreichbare Systeme und eingesetzte Software sichtbar. Damit lässt sich prüfen, welche ESG-Appliances unter der eigenen Domain oder Infrastruktur erreichbar sind. Die tatsächliche Betroffenheit durch CVE-2026-116606 hängt vom installierten Softwarestand ab und erfordert eine Prüfung der jeweiligen Appliance.
Für diese Schwachstelle ist die Kombination aus einer extern erreichbaren Appliance, der betroffenen Softwareversion und einem öffentlich erreichbaren Management-Interface relevant. Die technische Bearbeitung umfasst daher die Prüfung des Patchstatus, das Upgrade auf die fehlerbereinigte Version und die Beschränkung des Managementzugriffs.
Bin ich betroffen?
Betroffen ist Barracuda Networks in den oben genannten Versionen; behoben wurde die Schwachstelle in 9.4.0.030. Wer wissen will, ob Barracuda Networks in der eigenen extern erreichbaren Infrastruktur überhaupt sichtbar ist, kann den CVE-Quick-Check am Ende dieses Artikels nutzen: Er zeigt exponierte Systeme und die von außen erkennbare Software.
Die konkret installierte Version lässt sich von außen nicht in jedem Fall bestimmen — ausschlaggebend ist der Abgleich mit dem Hersteller-Advisory.
Ein nicht authentifizierter Angreifer kann eine Konfigurationsimportfunktion aufrufen und ein präpariertes, kompatibles Sicherungsarchiv wiederherstellen. Dadurch kann die globale Konfiguration der Appliance unbefugt verändert werden.
Für CVE-2026-116606 liegt keine dokumentierte aktive Ausnutzung vor.
Stand: 02.11.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
CVE Quick Check
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Erste Einschätzung in wenigen Minuten per E-Mail.
Details im kostenlosen Gespräch mit einem LocateRisk Consultant.
Das erhalten Sie per E-Mail
UnternehmenIhre Firma GmbH
Geprüfte CVECVE-2026-116606
Passive Bewertung
Hinweise zur CVEgefunden oder nicht gefunden
Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!
We use cookies to optimize our website and our service.
Functional
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistics
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.
Deutsch 
English 
Français