Barracuda dicht twee kwetsbaarheden in Email Security Gateway

Barracuda heeft beveiligingsupdates uitgebracht voor de Email Security Gateway (ESG). Het gaat om twee problemen die elkaar kunnen versterken: een pre-auth authorization bypass (CVE-2026-116606) en een command injection (CVE-2026-111560). De tweede kwetsbaarheid raakt naast ESG ook de Load Balancer Application Delivery Controller (ADC), Message Archiver (BMA), WAF Control Center (WCC), Web Application Firewall (WAF) en Web Security Gateway (WSG). Volgens Barracuda is toegang tot de beheerdersinterface nodig. In combinatie kan een aanvaller autorisatiecontroles omzeilen en root-toegang krijgen. Updates zijn beschikbaar sinds 2 november 2026. Patching heeft daarom prioriteit. (trust.barracuda.com)

Wat er precies misgaat

• CVE-2026-116606: in ESG is het mogelijk om, zonder ingelogd te zijn, een configuratie- of back-upfunctie te misbruiken. Daardoor kan een aanvaller instellingen aanpassen die normaal gesproken alleen door admins te wijzigen zijn. Versies ouder dan 9.4.0.030 zijn hiervoor kwetsbaar. Score: 9,3 (CVSS v4.0). (github.com)
• CVE-2026-111560: een command-injectionfout die ook andere Barracuda-appliances treft (o.a. ADC, WAF, WCC, WSG en BMA). Hiervoor zijn beheerdersrechten vereist. Score: 8,6 (CVSS v4.0). (trust.barracuda.com)

Belangrijk detail: Barracuda heeft op 5 november 2026 verduidelijkt dat voor CVE-2026-116606 géén authenticatie nodig is, mits de Admin UI voor de aanvaller bereikbaar is. Met andere woorden: staat de beheerdersinterface open op internet, dan is misbruik zonder inlog mogelijk. (trust.barracuda.com)

Stand van zaken en dreigingsbeeld
Het NCSC (Nederland) meldt op 4 november 2026 dat er op dat moment geen aanwijzingen zijn voor actief misbruik of publiek beschikbare exploitcode. Wel adviseert het NCSC om direct te updaten en de beheerinterfaces af te schermen. (ncsc.nl)
Tegelijkertijd verscheen op 5 november een diepgaande technische analyse van watchTowr Labs. Daarin laten onderzoekers zien hoe de auth-bypass en de command injection tot root-rechten op ESG kunnen leiden, en ze publiceerden een detectietool om kwetsbare systemen te identificeren. Zulke details vergroten doorgaans het risico op snelle weaponization, zeker als beheerinterfaces publiek toegankelijk zijn. (labs.watchtowr.com)

Waarom dit ertoe doet
ESG-appliances staan vaak aan de rand van het netwerk en verwerken gevoelige e-mailstromen. Eerder (2023) leidde een Barracuda-ESG-kwetsbaarheid tot grootschalige misbruikcampagnes en zelfs vervanging van devices. Het illustreert hoe belangrijk het is om updates voor dit soort randapparatuur niet uit te stellen. (labs.watchtowr.com)

Wat je nu moet doen

• Update meteen. Installeer de nieuwste firmware en zorg dat automatische beveiligingspatches zijn ingeschakeld. Barracuda heeft per product patches en hotfix-IDs gepubliceerd; volg die instructies en plan zo nodig meerdere tussenstappen als je firmware ver achterloopt. (trust.barracuda.com)
• Scherm de Admin UI af. Sta beheer alleen toe via een intern netwerk of VPN, en beperk toegang met netwerkregels. Vermijd blootstelling aan het internet. (trust.barracuda.com)
• Controleer op sporen van misbruik. Let op onverwachte of mislukte wachtwoordwijzigingen in de Admin UI, ongebruikelijke herstelacties van back-ups/configuraties en vreemde systeeminstellingen (zoals timezones) die kunnen wijzen op command injection. Reageer extra alert als de Admin UI publiek bereikbaar is geweest. (labs.watchtowr.com)
• Herstel hygiëne. Draai beheerderswachtwoorden en API-sleutels, controleer toegangsrechten en zet logging/monitoring strakker. Zet segmentatie in om herstel te versnellen.

Kortom: de patches zijn er, de risico’s zijn concreet en de aanvalsketen is publiek beschreven. Werk je firmware bij, sluit je beheerderspoort af en controleer je omgeving — liever vandaag dan morgen. (trust.barracuda.com)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.