Lek in Barracuda ESG laat aanvallers configuratie wijzigen

Wat is er gebeurd

Een zwakte in de manier waarop de Email Security Gateway (ESG) van Barracuda Networks inlogpogingen controleert, stelt aanvallers in staat de authenticatie volledig over te slaan. Het lek wordt gevolgd als CVE-2026-116606 en is geclassificeerd als CWE-288, authenticatiebypass via een alternatief pad of kanaal. Een externe aanvaller die niet is ingelogd, kan een functie bereiken die bedoeld is voor het importeren van configuratie en daarmee een speciaal voorbereid back-upbestand laden dat de appliance als compatibel accepteert. Het gevolg zijn ongeautoriseerde wijzigingen in de globale instellingen van het apparaat.

Het lek wordt actief misbruikt. CISA heeft het op 2026-11-10 toegevoegd aan de catalogus Known Exploited Vulnerabilities. De CVE is gepubliceerd op 2026-11-02 en de analyse door NVD loopt nog. Het Nationaal Cyber Security Centrum (NCSC-NL) heeft de kwestie ook behandeld in advisory NCSC-2026-0465.

Wie is getroffen

Het lek treft Barracuda Networks Email Security Gateway (ESG) in versies eerder dan 9.4.0.030. Organisaties die een ESG-appliance met een oudere versie gebruiken, moeten deze als kwetsbaar beschouwen. In de voor ons beschikbare gegevens worden geen andere producten genoemd.

Hoe ernstig is het

Het lek heeft een CVSS 4.0-basisscore van 9.3 en wordt als kritiek beoordeeld. Het kan via het netwerk worden uitgebuit met lage complexiteit, vereist geen rechten en geen gebruikersinteractie, en heeft een grote impact op de vertrouwelijkheid, integriteit en beschikbaarheid van de appliance.

Het actieve misbruik vergroot de urgentie aanzienlijk. CISA heeft voor Amerikaanse federale instanties een uiterste hersteldatum van 2026-11-13 vastgesteld. De EPSS-score, een schatting van de kans op misbruik, bedraagt 0.01602 per 2026-11-10, maar bevestigde aanvallen in de praktijk wegen zwaarder dan die schatting. Omdat e-mailgateways doorgaans aan de rand van het netwerk staan, kan een gemanipuleerde configuratie gevolgen hebben voor de e-mailverwerking van een hele organisatie.

Wat moet u doen

1. 1Breng alle Barracuda Email Security Gateway-appliances in kaart en controleer de geïnstalleerde versie.
2. 2Werk elke appliance met een versie eerder dan 9.4.0.030 bij volgens de advisory van Barracuda.
3. 3Pas de mitigerende maatregelen van Barracuda toe conform de instructies van de leverancier, zoals CISA vereist, uiterlijk 2026-11-13 waar die deadline van toepassing is.
4. 4Controleer de configuraties van de appliances op onverwachte wijzigingen en volg de richtlijnen van CISA voor forensische triage als u een compromittering vermoedt.
5. 5Raadpleeg NCSC-NL-advisory NCSC-2026-0465 en houd Barracuda in de gaten voor verdere updates.

Kerngegevens