Kritiek lek in Barracuda e-mailgateway: patch nu

Een kritiek lek in de Barracuda Email Security Gateway geeft aanvallers zonder login root-toegang. Nog geen misbruik, wel: patch nu.

Er is één toestel in je netwerk dat elke e-mail leest voordat jij dat doet. Elke offerte, elk contract, elke factuur met rekeningnummer, elke wachtwoordreset. Dat toestel heet de mail gateway, en voor wie een Barracuda Email Security Gateway (ESG) gebruikt, kreeg dat toestel deze week een kritiek lek. Het Centrum voor Cybersecurity België (CCB) vraagt om onmiddellijk te patchen.

Laat ons meteen duidelijk zijn: er is op dit moment geen bevestigd misbruik, en het lek staat op het moment van schrijven (5 november) niet op de Amerikaanse CISA KEV-lijst van actief misbruikte kwetsbaarheden. Dat is net het goede nieuws. Je hebt nu nog een voorsprong. De vraag is hoe lang.

Wat er aan de hand is

Barracuda publiceerde op 2 november een advies over twee kwetsbaarheden. De eerste, CVE-2026-116606, laat een aanvaller zonder login de beveiliging van de beheerinterface omzeilen en de volledige configuratie van het toestel aanpassen. CVSS-score, de internationale schaal voor ernst: 9.3 op 10. De tweede, CVE-2026-111560 (8.6), is een zogenaamde command injection: een fout waarmee iemand met beheerrechten eigen commando's kan laten uitvoeren op het onderliggende systeem.

Apart zijn ze ernstig. Samen zijn ze een sleutelbos. Volgens Barracuda kan een aanvaller de twee combineren om root-toegang te krijgen: de hoogste rechten op het toestel, zonder ooit een wachtwoord te kennen. De voorwaarde is dat de aanvaller de beheerinterface kan bereiken. Staat die open op het internet, dan is dat een kleine drempel.

Het commando-lek treft daarnaast nog vijf andere Barracuda-producten, waaronder de Web Application Firewall en de Web Security Gateway. De combinatie met de omzeiling van de login geldt alleen voor de ESG. Die heeft dus voorrang.

Waarom dit in de directiekamer thuishoort

E-mailbeveiliging voelt als een opgelost probleem. Er staat een doos, die filtert spam, klaar. Maar die doos is ook de plek waar je gevoeligste communicatie samenkomt. Wie ze overneemt, leest niet één mailbox mee, maar die van het hele bedrijf. Onder NIS2 moeten bestuurders aantonen dat ze dit soort risico's beheersen, en een gekend, kritiek lek in je mailinfrastructuur laten openstaan is moeilijk uit te leggen. Patch management is hier geen IT-klusje. Het is aansprakelijkheid.

Door de ogen van de aanvaller

Bij XPOSE denken we zoals de tegenpartij. Wat volgt zijn scenario's, geen reconstructie van een aanval en zeker geen handleiding.

De ideale luisterpost. Een aanvaller op staatsniveau (een APT, advanced persistent threat) wil geen lawaai. Hij wil lezen. Een email security gateway ziet elke mail en elke bijlage passeren. Je hoeft er niets te stelen of te versleutelen: rustig meelezen volstaat. Een factuur die onderweg van rekeningnummer verandert, is dan maar één stap verder.

Niemand kijkt naar de bewaker. Beveiligingsapparatuur geniet vertrouwen. Ze staat buiten de scope van je endpoint-detectie, wordt zelden gelogd en nog minder vaak gecontroleerd. Precies daarom is het voor een aanvaller zo'n comfortabele schuilplaats.

Eén MSP, honderd klanten. Veel kmo's laten hun mail gateway beheren door een MSP of hoster. Voor een aanvaller is dat een efficiënt model: wie weet hoe één beheerportaal werkt en waar de toestellen van een dienstverlener staan, kijkt naar een hele klantenlijst. Je toeleveringsketen is dan je aanvalsoppervlak.

De patch zet niemand buiten. Dit is het punt dat het vaakst gemist wordt. Een update sluit de deur, maar zegt niets over wie al binnen is. Het CCB schrijft het letterlijk: patchen beschermt tegen toekomstig misbruik, maar herstelt geen eerdere compromittering.

De geschiedenis herhaalt zich graag. In 2023 werd een ander ESG-lek (CVE-2023-2868) door Chinese spionagegroepen misbruikt, volgens SecurityWeek al sinds oktober 2022. Barracuda adviseerde klanten toen om getroffen toestellen te vervangen. Dat type toestel staat dus al op de radar van ernstige spelers.

Wat je vandaag nog doet

1. Controleer of je ESG op de nieuwste firmware draait en alle patches heeft. Vertrouw niet blind op automatische updates; Barracuda waarschuwt dat toestellen met verouderde firmware soms meerdere updates na elkaar nodig hebben.
2. Haal de beheerinterface van het internet. Alleen bereikbaar vanuit vertrouwde interne netwerken. Laat controleren wat er van jouw omgeving publiek zichtbaar is.
3. Zet automatische patching weer aan als iemand ze ooit uitschakelde.
4. Kijk terug, niet alleen vooruit. Controleer logs en configuratie op onverklaarbare wijzigingen, nieuwe beheeraccounts of vreemde doorstuurregels.
5. Vraag je MSP schriftelijk: is ons toestel gepatcht, wanneer, en wie heeft toegang tot de beheerinterface?
6. Vergeet de rest niet. Gebruik je ook Barracuda WAF, Web Security Gateway of Message Archiver, patch die ook. En wie SolarWinds Dameware gebruikt voor beheer op afstand: ook daar vraagt het CCB om onmiddellijk te patchen (CVE-2026-28336, CVSS 9.9).

Tot slot

De mail gateway is gebouwd om je te beschermen. Net daarom is het de laatste plek waar je een indringer verwacht, en de eerste plek waar een geduldige aanvaller wil zitten. Er is nu geen bevestigd misbruik. Gebruik die tijd.

XPOSE Security test je omgeving zoals echte APT-aanvallers het zouden doen: van de beheerinterface die per ongeluk online staat tot de toegang van je MSP. Liever dat wij het vinden dan zij. Neem contact op en laat je cybersecurity in België structureel versterken met onze CISO-as-a-service.