Barracuda-lekken geven root op ESG en WAF
Barracuda Networks heeft twee kwetsbaarheden gepatcht die samen tot root-toegang op zijn appliances kunnen leiden. Het gaat om CVE-2026-116606 en CVE-2026-111560, met CVSS-scores van 9,3 en 8,6. De leverancier publiceerde de advisory op 2 november; BleepingComputer pikte de waarschuwing dinsdag op.
Twee lekken die op elkaar aansluiten
CVE-2026-116606 is een omzeiling van de autorisatie in de Email Security Gateway (ESG). Volgens de beschrijving in de NVD kan een aanvaller daarmee een functie voor het importeren van configuratie aanroepen en een speciaal samengesteld backup-archief terugzetten, waarmee de globale configuratie van het apparaat ongeoorloofd wordt gewijzigd. De NVD beschrijft die aanvaller als niet-geauthenticeerd en op afstand, en komt op een CVSS 4.0-score van 9,3, aangemerkt als kritiek.
CVE-2026-111560 zit in het tijdzoneveld van de configuratie. Shell-metatekens worden daar niet goed afgevangen, waardoor een geauthenticeerde beheerder OS-commando's kan injecteren die met rootrechten worden uitgevoerd zodra de ingevoerde tijdzonewaarde wordt verwerkt. Dat lek raakt meer dan alleen de ESG, omdat het in gedeelde Barracuda-code zit.
Aan elkaar geknoopt vormen de twee een pad naar root op het apparaat. Barracuda zelf schrijft in de advisory dat beide kwetsbaarheden toegang tot de beheerinterface vereisen. Dat is een nuance die afwijkt van de NVD-beschrijving van het eerste lek, waarin van authenticatie geen sprake is. Van misbruik in de praktijk maakt de advisory geen melding.
Welke producten geraakt worden
CVE-2026-116606 raakt volgens de advisory alleen de Email Security Gateway; de CVE-beschrijving noemt ESG-versies ouder dan 9.4.0.030. CVE-2026-111560 raakt zes producten: de ESG, Load Balancer ADC, Message Archiver (BMA), WAF Control Center (WCC), Web Application Firewall (WAF) en Web Security Gateway (WSG).
Wat je nu kunt doen
Barracuda levert de fixes als firmware-updates, met per product een eigen nummer:
| Product | Patch |
|---|---|
| Email Security Gateway | BNSF-40425 (9.4.017 of hoger) of BNSF-40430 (ouder dan 9.4.017) |
| Load Balancer ADC | BNADC-16586 |
| Web Application Firewall | BNADC-16586 |
| Message Archiver | BNMA-32468 |
| WAF Control Center | BNWF-60060 |
| Web Security Gateway | BNYF-24789 |
Daarnaast adviseert Barracuda het volgende:
- Zet de nieuwste firmware erop. Staat automatisch patchen uit, zet het dan aan.
- Beperk de toegang tot de beheerinterface tot vertrouwde interne netwerken, en gebruik netwerktoegangscontroles om de blootstelling te verkleinen. Dat is hier de zwaarste maatregel: een beheerinterface die vanaf internet bereikbaar is, maakt van beide lekken een heel ander probleem.
- Twijfel je of een appliance de patch binnen heeft gekregen, dan verwijst Barracuda naar support@barracuda.com.