Barracuda-mailgateways aangevallen: wat moet je nu controleren?

Een beveiligingsapparaat dat inkomende e-mail controleert, staat doorgaans niet bovenaan de lijst van systemen die een ondernemer dagelijks bekijkt. Toch kan juist zo'n gateway een kritiek toegangspunt worden. Barracuda heeft bevestigd dat kwetsbaarheden in onder meer zijn Email Security Gateway (ESG) bij een klein aantal organisaties zijn misbruikt. De Amerikaanse cyberautoriteit CISA heeft de twee betrokken CVE's op 10 november 2026 toegevoegd aan haar lijst met aantoonbaar uitgebuite kwetsbaarheden.

Het belangrijkste onderscheid: dit is niet alleen een theoretisch risico op basis van een hoge score. Er zijn patches én een melding van daadwerkelijk misbruik. Bedrijven die een Barracuda-appliance gebruiken, of waarvan een IT-dienstverlener die beheert, moeten daarom niet uitsluitend naar de firmware kijken. Ook de toegang tot het beheerportaal en mogelijke sporen van eerdere compromittering verdienen aandacht.

Twee kwetsbaarheden die samen roottoegang mogelijk maken

Barracuda publiceerde zijn oorspronkelijke beveiligingsadvies op 2 november. Daarin staan twee fouten: CVE-2026-116606, een omzeiling van autorisatie vóór het inloggen, en CVE-2026-111560, een kwetsbaarheid waarmee opdrachten kunnen worden geïnjecteerd. In combinatie kunnen deze fouten volgens de leverancier leiden tot roottoegang op een getroffen apparaat.

Voor die aanval moet een aanvaller de administratieve webinterface kunnen bereiken. Bij de eerste fout is volgens een verduidelijking van Barracuda van 5 november geen geldige beheerderslogin nodig. Dat is wezenlijk anders dan de aanname dat een sterk wachtwoord het probleem volledig oplost. Een interface die vanaf internet bereikbaar is, brengt een ander risico mee dan een interface die uitsluitend via een afgeschermd beheernetwerk toegankelijk is.

De kwetsbaarheid met autorisatieomzeiling betreft de Email Security Gateway. De opdrachtinjectie treft daarnaast volgens Barracuda ook verschillende andere producten, waaronder Message Archiver, Web Application Firewall en Web Security Gateway. Het is dus onvoldoende om alleen het e-mailplatform op de inventarislijst te zetten wanneer een organisatie meer Barracuda-apparatuur gebruikt.

Wat er tussen 2 en 10 november veranderde

Een eerste advies vertelt wat een fout *zou kunnen* veroorzaken. De latere updates vertellen waarom beheerders nu actie moeten ondernemen. Barracuda verduidelijkte op 5 november dat voor CVE-2026-116606 geen authenticatie nodig is, zolang de beheerinterface bereikbaar is. Op 9 november meldde het bedrijf vervolgens waargenomen misbruik bij een klein aantal organisaties.

Op 10 november nam CISA beide kwetsbaarheden op in de Known Exploited Vulnerabilities-catalogus, kortweg KEV. Dat betekent dat er betrouwbare aanwijzingen zijn voor misbruik in echte omgevingen. Het bewijst niet dat iedere kwetsbare gateway is aangevallen en zegt ook niet hoeveel gegevens eventueel zijn buitgemaakt. Barracuda heeft in het publieke advies geen volledige lijst met getroffen organisaties, aanvalspaden of gevolgen bekendgemaakt.

CISA stelde 13 november 2026 als hersteltermijn voor betrokken Amerikaanse federale diensten. Dat is geen algemene wettelijke deadline voor Nederlandse of Europese bedrijven. De vermelding is hier vooral een relevant prioriteitssignaal: het risico is concreet genoeg om niet op de volgende reguliere onderhoudsronde te wachten.

De door Barracuda vermelde CVSS-scores zijn 9,3 en 8,6. Die scores drukken de potentiële ernst uit. Ze zijn geen kansberekening en mogen niet worden verward met KEV, dat juist over bekend misbruik gaat. Ook zegt een hoge CVSS-score op zichzelf niets over ransomwarebetrokkenheid.

Welke systemen en patches zijn relevant?

Volgens de productspecifieke documentatie van Barracuda zijn alle versies van de ESG geraakt. De fabrikant vermeldt firmwareversie 9.4.0.029 of hoger als versie waarin de beveiligingsreparaties zijn opgenomen. Voor bestaande apparaten zijn ook patches beschikbaar; de centrale leveranciersmelding noemt onder meer de patchnummers BNSF-40425 en BNSF-40430, afhankelijk van de gebruikte firmwarelijn.

De praktische controle is dus niet simpelweg: ‘Staat automatische update aan?’ Bevestig wat op het apparaat daadwerkelijk is geïnstalleerd. Sommige oudere firmwareversies vereisen meerdere updatestappen, zoals in de ESG-handleiding staat. Een beschikbare update is nog niet hetzelfde als een succesvol uitgevoerde update.

Laat bij andere betrokken Barracuda-producten de bijbehorende productinstructie controleren. Het zou onjuist zijn de ESG-versie 9.4.0.029 als universele fix voor alle Barracuda-producten te presenteren.

Er is nog een nuance: een firewallregel die de beheerinterface afschermt, beperkt de bereikbaarheid van deze specifieke aanvalsketen, maar repareert de kwetsbare code niet. Segmentatie en VPN-toegang zijn aanvullende verdedigingslagen, geen vervanging voor de leverancierpatch.

Wat je aan je IT-partner moet vragen

De eerste stap is vaststellen of de organisatie een getroffen appliance gebruikt. Dat kan gaan om eigen hardware in een serverruimte, een virtuele installatie of een systeem dat geheel door een dienstverlener wordt beheerd. Vraag om het producttype, de geïnstalleerde firmwareversie, de patchstatus en de manier waarop de beheerinterface bereikbaar is.

Vraag vervolgens of er sporen van ongeautoriseerde toegang zijn onderzocht. Controle van beheerdersaccounts, configuratiewijzigingen, aanmeldingen, netwerkverbindingen en beschikbare apparaatlogs kan helpen. Welke signalen daadwerkelijk te zien zijn, hangt af van de logging en de getroffen versie. Patching alleen kan reeds verkregen toegang of gewijzigde configuratie niet altijd ongedaan maken.

Beperk de beheerinterface tot vertrouwde beheerlocaties en controleer of externe toegang echt nodig is. Dat geldt ook voor toegang van leveranciers en onderhoudspartners. Leg vast wie de gateway beheert, wie patches mag installeren en wie beslist over tijdelijke maatregelen als er aanwijzingen voor compromittering zijn.

Omdat een e-mailgateway een cruciale schakel in de mailstroom kan zijn, moet het herstel ook operationeel worden gepland. Test na het bijwerken of inkomende en uitgaande e-mail, quarantaine en de gebruikelijke beveiligingsfilters correct functioneren. Houd rekening met een onderhoudsvenster en een herstelplan, maar stel een noodzakelijke securityfix niet onnodig uit.

Het bredere risico zit in onzichtbaar beheer

De casus maakt één beheervraag concreet: welke apparaten beschermen het bedrijf, maar worden zelf nauwelijks gecontroleerd? E-mailbeveiliging, VPN-systemen, firewalls en beheerconsoles hebben vaak bijzondere toegang en blijven soms jarenlang in gebruik.

Voor een mkb-bedrijf is een volledig intern securityteam niet noodzakelijk om beter grip te krijgen. Een actuele inventaris, beperkte beheertoegang, aantoonbare patchcontrole en een afspraak over incidentonderzoek maken al een groot verschil. De beste vraag aan de IT-leverancier is nu: ‘Hebben wij een getroffen Barracuda-systeem, en hoe kunnen we aantonen dat het is bijgewerkt én gecontroleerd op misbruik?’

Bronnen: Barracuda · ESG-handleiding · CISA KEV