Datenleck · kritisch · CVSS 9.3
Barracuda Email Security Gateway nach Hack und Patch im November 2026
Tier A · Heute patchen – Vor dem Feierabend
Wer betroffen ist: Organisationen mit Barracuda Email Security Gateway
Tier A, weil: Kerninfrastruktur oder verbreitetes Werkzeug UND wird ausgenutzt
Reichweite
Angriff
Schaden
Fix
Verbreitetes Werkzeug · Wird ausgenutzt · Aus der Ferne, ohne Login · Volle Übernahme
Was zu tun ist
- Die von Barracuda bereitgestellten Patches für CVE-2026-116606 und CVE-2026-111560 einspielen.
- Email Security Gateways auf Anzeichen einer Kompromittierung prüfen.
Kurz gesagt
- Barracuda hat zum 2. November 2026 zwei Schwachstellen in Barracuda-Produkten gepatcht: CVE-2026-116606 und CVE-2026-111560.
- Es handelt sich um Pre-Authentication-Authorization-Bypass- und Command-Injection-Schwachstellen.
- Barracuda hat bestätigt, dass eine kleine Zahl von Email Security Gateways (ESG) im November 2026 gehackt wurde.
Warum es wichtig ist
Wer ein Barracuda Email Security Gateway betreibt, sollte prüfen, ob die Patches eingespielt sind und ob die eigene Instanz kompromittiert sein könnte, da die Lücken ohne vorherige Anmeldung ausnutzbar sind.
Die Checkliste hinter dem Tier
Checkliste · 5 von 10 mit Ja
| Ja | Trifft Tech-Teams | Judgment: Barracuda Email Security Gateway ist ein Mail-Sicherheitsgerät, das IT-Teams betreiben. |
| Nein | Kerninfrastruktur | Judgment: Ein einzelnes Gerät eines Herstellers, kein Kernbestandteil der Infrastruktur fast aller Teams. |
| Ja | Verbreitetes Werkzeug | Judgment: Barracuda ESG ist in Unternehmen verbreitet, kein Nischenprodukt. |
| Ja | Wird ausgenutzt | CISA SSVCCISA stuft die Ausnutzung von CVE-2026-116606 als aktiv ein |
| Nein | Exploit öffentlich | Borns IT- und Windows-Blog nennt keinen veröffentlichten Exploit oder PoC. |
| Ja | Aus der Ferne, ohne Login | CVSSCVE-2026-116606: CVSS 9.3 – übers Netz, ohne Rechte, ohne Zutun des Nutzers |
| Ja | Volle Übernahme | CVSSCVE-2026-116606: CVSS bewertet die Auswirkung auf Vertraulichkeit und Integrität als hoch |
| Nein | Geheimnisse offengelegt | Borns IT- und Windows-Blog erwähnt keine gestohlenen Zugangsdaten oder Daten. |
| Nein | Lieferkette | Borns IT- und Windows-Blog beschreibt keine kompromittierte Build-Pipeline, Pakete oder Updates. |
| Nein | Noch kein Fix | Borns IT- und Windows-Blog: Barracuda hat die Lücken bereits am 2. November 2026 gepatcht. |
Der offizielle Eintrag
Aus CVE.org, CISAs Katalog der Known Exploited Vulnerabilities, FIRST EPSS und der GitHub Advisory Database. Wo diese einen Fakt der Checkliste beantworten, gehen sie der Berichterstattung vor.
CVE-2026-116606 ↗CVSS 9.3 critical AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Authentication Bypass Allows Global Configuration Restore in Barracuda Email Security Gateway
- Ausgenutzt
- Laut CISA aktiv ausgenutzt
- EPSS
- 1.6% Wahrscheinlichkeit einer Ausnutzung in den nächsten 30 Tagen · höher als bei 76% aller CVEs
- Schwachstelle
- CWE-288
CVE-2026-111560 ↗CVSS 8.6 high AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
OS Command Injection in Barracuda Appliances
- Ausgenutzt
- Laut CISA aktiv ausgenutzt
- EPSS
- 1.1% Wahrscheinlichkeit einer Ausnutzung in den nächsten 30 Tagen · höher als bei 65% aller CVEs
- Schwachstelle
- CWE-78
Zeitleiste
Barracuda patcht die Schwachstellen CVE-2026-116606 und CVE-2026-111560
Borns IT- und Windows-Blog
Barracuda Email Security Gateway (ESG) im Nov. 2026 gehackt
Quelle
Barracuda Email Security Gateway (ESG) im Nov. 2026 gehackt ↗ Borns IT- und Windows-Blog · vor 1 Std.
Zuerst gesehen · 1 Quelle · Zur ganzen Meldung · Wie Tiers entschieden werden