Barracuda Networks advirtió sobre dos vulnerabilidades que podrían permitir a atacantes obtener privilegios de root y ejecutar comandos en varios de sus productos. Para explotarlas, es necesario tener acceso a la interfaz administrativa, por lo que se recomienda restringir el acceso a redes internas confiables. La empresa ya ha lanzado los parches de seguridad correspondientes y urge a sus clientes a actualizar el firmware inmediatamente.

La empresa de ciberseguridad Barracuda Networks advirtió a sus clientes que parcheen dos vulnerabilidades que pueden permitir a los atacantes ejecutar comandos con privilegios de root.

La primera es un fallo crítico (CVE-2026-116606) derivado de una debilidad de autenticación en el Email Security Gateway (ESG) que los atacantes pueden explotar para modificar la configuración global de un dispositivo, mientras que la segunda (CVE-2026-111560) permite a los actores de amenazas con permisos de administrador inyectar comandos del SO que se ejecutan como root.

Sin embargo, Barracuda afirmó que la explotación exitosa también requiere acceso a las interfaces administrativas de los dispositivos afectados y aconsejó a los clientes utilizar controles de acceso a la red apropiados y restringir el acceso a redes internas confiables para limitar la exposición.

"La explotación exitosa requiere que un atacante tenga acceso a la interfaz administrativa de un producto afectado. Si se explotan en combinación, estas vulnerabilidades podrían permitir a un atacante eludir los controles de autorización y obtener acceso de root al dispositivo", explicó la empresa [aquí].

"Barracuda inició inmediatamente un proceso de remediación exhaustivo y lanzó parches de seguridad para los productos afectados. Los clientes deben revisar los productos afectados y la guía de remediación [..], asegurarse de que sus sistemas ejecuten la versión de firmware más reciente y tengan aplicados todos los parches de seguridad".

Una lista completa de todos los dispositivos afectados y los parches de seguridad disponibles se encuentra en la siguiente tabla.

Affected Product	CVE-2026-116606	CVE-2026-111560	Patch
Email Security Gateway (ESG)	Yes	Yes	BNSF-40425 (9.4.017+), BNSF-40430 (<9.4.017)
Load Balancer ADC	No	Yes	BNADC-16586
Message Archiver (BMA)	No	Yes	BNMA-32468
WAF Control Center (WCC)	No	Yes	BNWF-60060
Web Application Firewall (WAF)	No	Yes	BNADC-16586
Web Security Gateway (WSG)	No	Yes	BNYF-24789

<9 .4.017="" br="">

Hace tres años, Barracuda también parcheó un fallo de Email Security Gateway (CVE-2023-7102) que el grupo de hacking UNC4841 explotó en ataques de día cero para ejecutar código arbitrario en dispositivos no parcheados.

El mismo año, los hackers de UNC4841 abusaron de otro día cero (CVE-2023-2868) para atacar dispositivos Barracuda ESG como parte de ataques de ciberespionaje.

Barracuda reveló posteriormente que la vulnerabilidad había sido explotada durante al menos siete meses, desde octubre de 2022, para desplegar el malware SeaSpy y Saltwater previamente desconocidos y robar datos de sistemas comprometidos.

Casi un tercio de los dispositivos hackeados en la campaña de 2023 pertenecían a agencias gubernamentales de todo el mundo, la mayoría de ellos vulnerados entre octubre y diciembre de 2022, según la empresa de ciberseguridad Mandiant.

Fundada en 2003, Barracuda tiene más de 200,000 clientes en todo el mundo, incluyendo pequeñas y medianas empresas (PYMES), grandes empresas y proveedores de servicios gestionados (MSP).


Fuente:
BleepingComputer