Angriffe auf Cisco BroadWorks, Barracuda ESG und weitere Produkte beobachtet

Angriffe auf Cisco BroadWorks, Barracuda ESG, andere Barracuda-Netzwerkgeräte, Google Chrome, Openwave Messaging und Microsoft Outlook wurden jüngst beobachtet. Aktualisierungen stehen bereit. IT-Verantwortliche sollten sie schleunigst anwenden.

Davor warnt die US-amerikanische IT-Sicherheitsbehörde CISA aktuell. In Ciscos BroadWorks können nicht authentifizierte Angreifer aus dem Netz sensible Konfigurationsinformationen aus dem Open Client Interface (OCI) auslesen, da der XML-Parser das Auflösen externer XML-Entities erlaubt. Dazu schicken sie präparierte XML-Nachrichten an den OCI-P-Dienst und lesen mit den Rechten des BroadWorks-Users Inhalte sensibler Dateien aus dem Dateisystem aus, die der Server an sie zurücksendet (CVE-2026-20320, CVSS 7.5, Risiko „hoch“). Cisco hat am 19. August eine Sicherheitsmitteilung und Updates zum Stopfen des Lecks veröffentlicht.

In der vergangenen Woche hat Barracuda vor zwei Sicherheitslücken gewarnt. Angreifer mit Zugriff auf das Admin-Interface von Barracuda-Appliances können die Lücken missbrauchen, um Autorisierungskontrollen im Barracuda Email Security Gateway zu umgehen (CVE-2026-116606, CVSS4 9.3, Risiko „kritisch“) und in Barracuda-Appliances Befehle an das Betriebssystem einzuschleusen, sofern eine Anmeldung mit Admin-Rolle möglich ist (CVE-2026-111560, CVSS4 8.6, Risiko „hoch“). Diese Lücken werden nun offenbar auch aktiv angegriffen.

Weitere attackierte Sicherheitslücken

Der Openwave Webtop Media Transcoder setzt die vom Admin gesetzten Dateityp-Beschränkungen für Konvertierungen nicht korrekt um. Angemeldete Nutzerinnen und Nutzer können dadurch eigentlich nicht dafür vorgesehene Dateitypen verarbeiten und umwandeln, sofern sie dabei die Webmail-Oberfläche umgehen (CVE-2026-111793, CVSS 4.3, Risiko „mittel“)

Die weiteren Angriffswarnungen sind bereits seit Dienstag bekannt: Google hat in Chrome die Sicherheitslücke CVE-2026-125350 (laut CVE-Eintrag CVSS 8.8, Risiko „hoch“) mit der Aktualisierung aus der Nacht zum Dienstag gestopft, während Microsoft sie in Edge schließen will. Microsoft hat am Dienstagabend mit den Patchday-Softwareflicken zudem ein Sicherheitsleck in Outlook ausgebessert, das bereits in freier Wildbahn angegriffen wird (CVE-2026-124194, CVSS 6.5, Risiko „mittel“).