Barracuda ha confirmado la explotación activa de fallos de seguridad que afectan a su Email Security Gateway (ESG), advirtiendo que los atacantes podrían combinar dos vulnerabilidades para obtener acceso de root sin necesidad de iniciar sesión. En una actualización del 9 de noviembre de 2026, emitida a las 9:00 p.m. EST, la empresa indicó que la explotación ha afectado a un pequeño número de organizaciones.

Los fallos, rastreados como CVE-2026-116606 y CVE-2026-111560, implican una omisión de autorización y una inyección de comandos. Para que la explotación sea exitosa, se requiere acceso a la interfaz administrativa del dispositivo.

Esta condición hace que las páginas de gestión expuestas sean una preocupación clave, aunque Barracuda afirma que las organizaciones que mantienen sus interfaces fuera de la internet pública están menos expuestas a esta ruta de ataque.

La confirmación cambia el panorama de riesgo respecto a la revelación inicial del 2 de noviembre. Cybersecurity News ya había cubierto los fallos de seguridad de Barracuda y los parches disponibles antes de que el proveedor informara sobre los ataques activos. El último aviso de Barracuda no identifica a los atacantes, las organizaciones afectadas, el malware ni el número exacto de víctimas.

Fallos de Barracuda Email Gateway

El CVE-2026-116606 es una omisión de autorización previa a la autenticación que afecta al ESG, con una puntuación CVSS de 9.3. El 5 de noviembre, Barracuda corrigió su aviso para aclarar que los atacantes no necesitan credenciales válidas.

Sin embargo, deben ser capaces de alcanzar la interfaz de usuario administrativa. Por lo tanto, el acceso a la red y el acceso autenticado son requisitos separados.

El CVE-2026-111560 es un fallo de inyección de comandos con una puntuación CVSS de 8.6. Por sí solo, requiere acceso administrativo. Combinarlo con la omisión de autorización podría eliminar esa barrera de inicio de sesión y proporcionar acceso de root al dispositivo.

El ESG es el único producto listado afectado por ambas vulnerabilidades, por lo que no debes asumir que la cadena de ataque sin autenticación afecta a todos los productos mencionados.

Según el aviso de seguridad actualizado de Barracuda, ambos fallos tienen una calificación de gravedad "Alta" por parte del proveedor. Su guía pública confirma el riesgo combinado de acceso de root, pero no proporciona solicitudes de exploit ni una secuencia de ataque detallada.

Esto limita lo que tú, como defensor, puedes concluir sobre los métodos utilizados en los incidentes observados. Los clientes de ESG necesitan el parche BNSF-40425 para las versiones 9.4.017 y posteriores, o el BNSF-40430 para versiones anteriores. El fallo de inyección de comandos también afecta al Load Balancer Application Delivery Controller y al Web Application Firewall, parcheados mediante el BNADC-16586.

Message Archiver requiere el BNMA-32468, WAF Control Center requiere el BNWF-60060 y Web Security Gateway requiere el BNYF-24789. Estos productos cumplen funciones diferentes, por lo que es importante que tengas inventarios de dispositivos precisos al verificar la cobertura de los parches.

Para quienes revisen cómo encajan los dispositivos de filtrado de correo en sus defensas, la guía de gateways de seguridad de correo electrónico explica su función en la detección de mensajes y archivos adjuntos. Ese rol protector hace que la seguridad del gateway sea una parte importante de la defensa del correo electrónico.

Barracuda recomienda restringir las interfaces administrativas a redes internas confiables y aplicar controles de acceso a la red apropiados. Debes verificar que el firmware más reciente y cada parche de seguridad aplicable estén instalados.

Los dispositivos que tengan varias versiones de retraso pueden necesitar múltiples actualizaciones. Instala los parches faltantes manualmente y activa el parcheo automático donde esté desactivado.