Twee recent door Barracuda gepatchte Barracuda lekken worden volgens de laatste meldingen al uitgebuit in echte aanvallen. Het risico is niet theoretisch: de kwetsbaarheden kunnen in samenhang worden gebruikt om autorisatiecontroles te omzeilen en uiteindelijk root-toegang tot het apparaat te verkrijgen.
Daarom geldt: als je Barracuda Email Security Gateway (ESG) of aanverwante componenten beheert, patch dan zo snel mogelijk. Voeg daarnaast extra restricties toe op toegang tot de beheerdersinterfaces, zeker als die niet strikt intern zijn afgeschermd.
Welke Barracuda lekken spelen er precies?
De eerste kwetsbaarheid is CVE-2026-116606 met een CVSS-score van 9.3. Deze wordt beschreven als een authentication bypass in de Barracuda Email Security Gateway (ESG).
In de kern gaat het om een scenario waarin een aanvaller die toegang heeft tot de Admin UI het systeem kan laten terugkeren naar een samengestelde back-up. Vervolgens kan die persoon de configuratie van het apparaat aanpassen.
De tweede kwetsbaarheid is CVE-2026-111560 (CVSS 8.6). Dit is een command injection die niet tot één product beperkt blijft, maar effect heeft op meerdere Barracuda componenten, waaronder:
- Barracuda Email Security Gateway (ESG)
- Load Balancer Application Delivery Controller (ADC)
- Web Application Firewall (WAF)
- Web Security Gateway (WSG)
- Message Archiver (BMA)
- WAF Control Center (WCC)
Bij command injection kan een aanvaller met administratieve toegang OS-commando’s injecteren. Die commando’s worden vervolgens uitgevoerd met root-rechten op het systeem.
Waarom de combinatie zo gevaarlijk is
Barracuda heeft aangegeven dat, wanneer de kwetsbaarheden samen worden uitgebuit, een aanvaller mogelijk autorisatiecontroles kan omzeilen en root-toegang tot het apparaat kan verkrijgen.
Dat is precies het type ketenaanval waar veel beveiligingsafdelingen voor waarschuwen: één zwakte laat de dader toe om verder binnen te komen, en een tweede zwakte maakt het mogelijk om die positie direct uit te nutten voor systeemcontrole.
Misbruik in het wild: wat weten we al?
Ongeveer een week nadat Barracuda zijn advisories had bijgewerkt, kwam er extra aandacht vanuit de overheid. De Amerikaanse cybersecurity-agency CISA heeft CVE-2026-116606 en CVE-2026-111560 toegevoegd aan de Known Exploited Vulnerabilities (KEV)-catalogus.
Daarbij is federal agencies gevraagd om binnen drie dagen te patchen, zoals vastgelegd in BOD 26-04. Dat is doorgaans een signaal dat de drempel van “waarschijnlijk misbruik” is gepasseerd.
Daarnaast heeft beveiligingsbedrijf Previdian vastgesteld dat er in de periode van 9 tot 11 november in totaal 17 pogingen zijn gezien die gericht waren op CVE-2026-116606. Die pogingen kwamen vanuit 15 IP-adressen verspreid over drie landen.
Barracuda en CISA hebben geen technische details vrijgegeven over de exacte exploitation. Wel is duidelijk dat aanvallers in elk geval al proberen de kwetsbaarheden te benutten bij een (beperkte) set organisaties.
Wat je nu moet doen (praktisch stappenplan)
Als je te maken hebt met Barracuda-apparaten of -software, pak dan dit aan als een prioriteit voor vandaag en morgen. Hieronder een aanpak die direct aansluit op de risico’s uit de melding.
1) Installeer de patches zo snel mogelijk
Werk je Barracuda-producten bij naar de meest recente versies die door Barracuda zijn aangekondigd. Hoe sneller je patcht, hoe kleiner de kans dat een aanvaller nog profiteert van bekende fouten.
2) Check of je Admin UI intern of publiek bereikbaar is
Een belangrijk onderdeel van de dreiging is dat de aanval routes administratieve toegang vereisen. Daarom adviseert Barracuda om de administratieve interfaces niet bloot te stellen aan het internet.
Beperk toegang tot vertrouwde interne netwerken en gebruik waar mogelijk extra netwerkbeveiliging (bijvoorbeeld strikte allowlists) zodat alleen beheer vanaf je eigen omgevingen mogelijk is.
3) Beperk beheertoegang en bewaak wijzigingen
Omdat de kwetsbaarheid ook via de Admin UI kan worden misbruikt om configuraties te wijzigen, is het verstandig om:
- beheeraccounts te reviewen en waar mogelijk te beperken
- logging en alerts te controleren op verdachte sessies
- configuratie-wijzigingen strakker te monitoren (wie, wat, wanneer)
Zo vang je sneller afwijkend gedrag, zelfs als er eerder al poging tot misbruik is gedaan.
Leerpunten uit andere gepatchte zero-days
Dit incident past in een bredere trend: ook bij andere leveranciers is zichtbaar dat omgevingen pas echt veilig worden als updates tijdig worden doorgevoerd. In meerdere recente gevallen zag je bijvoorbeeld patchrondes en advisories die direct gekoppeld waren aan actief misbruik.
Ter illustratie: lees ook hoe updates en timing bij grote leveranciers een rol spelen, zoals bij de Microsoft Patch Tuesday en een Outlook zero-day. Het patroon is vergelijkbaar: zodra kwetsbaarheden in de praktijk worden ingezet, verschuift de focus van “afwachten” naar “handelen”.
Gerichte beveiligingshouding voor beheerde apparaten
Wat deze Barracuda lekken extra onderstrepen, is dat het beheerpad net zo belangrijk is als de internet-facing functies. Zodra een aanvaller admin-achtige toegang kan verkrijgen, worden command injection en autorisatie-omzeiling veel concreter.
Daarom loont het om je security baseline voor netwerkappliances en gateways systematisch aan te scherpen. Denk aan: segmentatie, toegangsbeperking, sterke accountcontrole en snelle patchcycli.
Conclusie
De signalen rond de Barracuda lekken zijn duidelijk: er is al sprake van uitbuiting, en de combinatie van CVE-2026-116606 en CVE-2026-111560 kan leiden tot het omzeilen van autorisatie en mogelijk root-toegang. Patching is daarom urgent.
Heb je Barracuda-apparaten in beheer? Update zo snel mogelijk en zorg dat beheerdersinterfaces niet (of slechts zeer beperkt) internettoegang hebben. Neem deze melding mee in je prioriteiten, zodat je omgeving niet onderdeel wordt van de volgende waarnemingen.
Bron: https://www.securityweek.com/recently-patched-barracuda-vulnerabilities-exploited-in-attacks/
