Aanvallers maken actief misbruik van twee recent verholpen kwetsbaarheden in producten van Barracuda. De lekken kunnen volgens de leverancier aan elkaar worden gekoppeld om autorisatiecontroles te omzeilen en uiteindelijk opdrachten met rootrechten op een kwetsbaar apparaat uit te voeren. De Amerikaanse cyberautoriteit CISA heeft beide kwetsbaarheden inmiddels toegevoegd aan de lijst met actief misbruikte kwetsbaarheden.
Twee kwetsbaarheden met hoge impact
Het eerste lek is geregistreerd als CVE-2026-116606 en heeft een CVSS-score van 9,3. Het gaat om een kwetsbaarheid in de Barracuda Email Security Gateway, kortweg ESG. Een aanvaller die toegang heeft tot de administratieve gebruikersinterface kan de fout misbruiken door een speciaal geprepareerd back-uparchief terug te zetten. Daarmee kan de configuratie van het apparaat worden aangepast.
De tweede kwetsbaarheid, CVE-2026-111560, heeft een CVSS-score van 8,6. Dit betreft een command-injectionlek in meerdere Barracuda-producten: Email Security Gateway, Load Balancer Application Delivery Controller, Web Application Firewall, Web Security Gateway, Message Archiver en WAF Control Center. Een aanvaller met administratieve toegang tot een kwetsbaar systeem kan via dit lek besturingssysteemcommando’s injecteren die met rootrechten worden uitgevoerd.
De combinatie van beide kwetsbaarheden maakt de situatie ernstiger. Waar de ene fout misbruik van autorisatiecontroles mogelijk maakt, kan de andere leiden tot uitvoering van opdrachten op het hoogste privilegeniveau. Voor appliances die e-mail, webverkeer of applicatiebeveiliging afhandelen, is dat een risicovol scenario: zulke systemen staan vaak op strategische plekken in het netwerk en verwerken gevoelig of bedrijfskritisch verkeer.
Misbruik bij beperkt aantal organisaties bevestigd
Barracuda meldde op 2 november dat de kwetsbaarheden in combinatie konden worden misbruikt om autorisatie te omzeilen en roottoegang te verkrijgen. Een week later werkte het bedrijf zijn beveiligingsadvies bij met de waarschuwing dat dreigingsactoren de twee kwetsbaarheden al hadden ingezet tegen een klein aantal organisaties.
Details over de aanvallen zijn niet openbaar gemaakt. Barracuda en CISA hebben geen technische indicatoren, gebruikte aanvalsmethoden of informatie over getroffen sectoren gedeeld. Wel is bekend dat beveiligingsbedrijf Previdian tussen 9 en 11 november zeventien pogingen heeft waargenomen die waren gericht op CVE-2026-116606. Die pogingen kwamen van vijftien IP-adressen verspreid over drie landen.
Die aantallen wijzen niet noodzakelijk op grootschalige uitbuiting, maar bevestigen wel dat aanvallers de kwetsbaarheid actief testen of proberen te benutten. Bij kwetsbaarheden in edge- en beveiligingsapparatuur kan dat snel veranderen, omdat zulke systemen vaak vanaf internet bereikbaar zijn voor beheer of dienstverlening.
CISA zet kwetsbaarheden op KEV-lijst
CISA heeft CVE-2026-116606 en CVE-2026-111560 op dinsdag toegevoegd aan de Known Exploited Vulnerabilities-catalogus. Voor Amerikaanse federale instanties betekent dit dat zij de kwetsbaarheden binnen drie dagen moeten verhelpen, zoals voorgeschreven onder BOD 26-04.
Hoewel die verplichting specifiek geldt voor federale organisaties in de Verenigde Staten, is opname in de KEV-catalogus ook voor andere organisaties een belangrijk signaal. CISA neemt kwetsbaarheden alleen op wanneer er aanwijzingen zijn voor actief misbruik. Voor securityteams buiten de Amerikaanse overheid is dit doorgaans een reden om patching te versnellen en blootstelling van kwetsbare systemen opnieuw te beoordelen.
Waarom dit relevant is voor organisaties
Barracuda-apparatuur wordt gebruikt voor functies als e-mailbeveiliging, webfiltering, webapplicatiebescherming en load balancing. Compromittering van zulke systemen kan aanvallers een sterke positie geven binnen of aan de rand van een netwerk. Roottoegang op een appliance kan bijvoorbeeld betekenen dat configuraties, verkeersstromen of beveiligingsfuncties door een aanvaller kunnen worden beïnvloed.
De broninformatie vermeldt niet welke organisaties getroffen zijn of welke gevolgen de aanvallen hebben gehad. Ook is niet duidelijk of de waargenomen pogingen succesvol waren. Wel staat vast dat de kwetsbaarheden recent zijn gepatcht, dat misbruik is bevestigd en dat ten minste één van de twee lekken al doelwit is geweest van meerdere pogingen in een korte periode.
Bevestigde maatregelen
Organisaties wordt geadviseerd hun Barracuda-producten zo snel mogelijk bij te werken. Daarnaast moeten administratieve interfaces niet vanaf internet toegankelijk zijn. Toegang tot beheerinterfaces hoort beperkt te blijven tot vertrouwde interne netwerken.
Voor beheerders is vooral de combinatie van factoren belangrijk: het gaat om kwetsbaarheden met hoge ernstscores, er is bevestigd actief misbruik, en de impact kan oplopen tot rootrechten op beveiligings- en netwerkapparatuur. Dat maakt snelle controle van patchstatus en blootstelling van beheerinterfaces noodzakelijk.
Bron: securityweek.com
