Barracuda ha revelado dos vulnerabilidades de seguridad que, al ser explotadas conjuntamente, podrían permitir a los atacantes omitir los controles de autorización y obtener acceso de root en los dispositivos afectados. Estos fallos impactan en diversos productos de seguridad de la marca, aunque requieren que el atacante tenga acceso a la interfaz administrativa del dispositivo, lo que resalta la importancia de no exponer los sistemas de gestión a internet.

Barracuda ha revelado dos vulnerabilidades de seguridad que podrían permitir a los atacantes saltarse los controles de autorización y obtener acceso de root a los dispositivos afectados cuando se explotan conjuntamente.

Los fallos afectan a varios productos de seguridad de Barracuda, pero la explotación requiere acceso a la interfaz administrativa del dispositivo, lo que convierte a los sistemas de gestión expuestos en una preocupación clave para los defensores.

Las vulnerabilidades, identificadas como CVE-2026-116606 y CVE-2026-111560, fueron reveladas el 2 de noviembre de 2026. Barracuda ha lanzado parches e instó a sus clientes a instalar el firmware más reciente y verificar que las actualizaciones de seguridad hayan llegado a sus dispositivos.

Su aviso no informa de una explotación activa ni identifica una campaña de ataque asociada. Investigadores de Barracuda identificaron las vulnerabilidades, no una cepa de malware.

La distinción es importante porque la revelación describe debilidades en los controles de acceso del dispositivo y en el manejo de comandos, en lugar de una infección por malware documentada.

Según el aviso de seguridad oficial de Barracuda, combinar estas debilidades podría dar a un atacante acceso de root a un dispositivo afectado.

Fallos Críticos de Seguridad de Barracuda

CVE-2026-116606 es un salto de autorización previo a la autenticación que afecta a Barracuda Email Security Gateway, comúnmente llamado ESG.

Tiene una puntuación CVSS de 9.3. CVE-2026-111560 es una vulnerabilidad de inyección de comandos con una puntuación de 8.6 y afecta a seis familias de productos. Barracuda califica ambas vulnerabilidades como "Altas" en su aviso, a pesar de la puntuación de 9.3 del primer fallo.

La primera debilidad se refiere a los controles de autorización, mientras que la segunda implica la inyección de comandos. Barracuda afirma que el ataque combinado podría saltarse esos controles y obtener acceso de root.

Sin embargo, el aviso no publica los puntos finales vulnerables, ejemplos de solicitudes, cargas útiles (payloads) ni una secuencia detallada de explotación. Por lo tanto, debes evitar tratar una cadena de ataque supuesta como evidencia técnica confirmada.

Coberturas anteriores sobre la inyección de comandos del gateway de Barracuda explican cómo un fallo independiente, CVE-2023-2868, permitió la ejecución de comandos del sistema a través del procesamiento de archivos maliciosos.

Esa vulnerabilidad histórica no es uno de los problemas recién revelados, y su método de explotación no debe aplicarse a este aviso.

Sigue existiendo una limitación importante no resuelta en los detalles publicados. Barracuda califica el CVE-2026-116606 como un salto de autorización previo a la autenticación, pero su aviso también indica "Autenticación requerida: Sí, acceso administrativo".

Su resumen establece que los atacantes necesitan acceso a la interfaz administrativa. Estas declaraciones no establecen claramente si se requieren credenciales de administrador válidas para cada escenario de explotación.

Solo el ESG figura como afectado por ambas vulnerabilidades. El fallo de inyección de comandos también afecta a Load Balancer Application Delivery Controller, Message Archiver, WAF Control Center, Web Application Firewall y Web Security Gateway.

La matriz publicada no enumera esos cinco productos adicionales como vulnerables al salto de autorización. La preocupación general es familiar: los dispositivos de seguridad pueden convertirse en puntos de entrada valiosos cuando quedan expuestas debilidades explotables.

Informes previos sobre las vulnerabilidades de seguridad más explotadas incluyeron el Barracuda ESG entre los productos atacados mediante fallos conocidos. Ese historial proporciona contexto para la urgencia del parcheado, pero no establece la explotación de estos CVE recién revelados.

Parches, Exposición Administrativa y Prioridades Defensivas

Barracuda recomienda restringir las interfaces administrativas a redes internas confiables y aplicar los controles de acceso a la red adecuados. Las organizaciones cuyas interfaces de gestión no son accesibles públicamente enfrentan una menor exposición a esta ruta de ataque.

Reducir la exposición a internet es, por lo tanto, una medida de contención inmediata, pero el proveedor sigue indicando a los clientes que actualicen el firmware y apliquen todos los parches de seguridad.

El aviso proporcionado enumera los parches ESG BNSF-40425 para las versiones 9.4.017 y posteriores, y BNSF-40430 para versiones anteriores.

Identifica el BNADC-16586 para ADC y WAF, BNMA-32468 para Message Archiver, BNWF-60060 para WAF Control Center y BNYF-24789 para Web Security Gateway. Estos identificadores te ayudan a verificar la remediación según el producto afectado.

Debes revisar el firmware más reciente ofrecido por cada dispositivo y confirmar que los parches se hayan instalado realmente. Los sistemas que tengan varias versiones de firmware atrasadas pueden requerir múltiples actualizaciones.

Si el parcheado automático no aplicó una actualización, Barracuda aconseja instalarla manualmente lo antes posible y habilitar la entrega automática de parches donde haya sido desactivada.

Informes anteriores sobre el acceso de root a dispositivos de red ilustran por qué las interfaces de gestión merecen una atención cercana durante la respuesta a vulnerabilidades.

Para esta revelación, sin embargo, debes seguir la guía específica de productos de Barracuda en lugar de asumir que se aplican los métodos de explotación o los requisitos de recuperación de otro proveedor. El soporte de Barracuda puede ayudarte a verificar el estado del firmware y los parches.