La empresa Barracuda publicó el 2 de noviembre de 2026 un aviso de seguridad que describe dos vulnerabilidades en sus productos: authorization bypass previo a la autenticación (CVE-2026-116606, CVSS 9.3) y command injection (CVE-2026-111560, CVSS 8.6). Cuando se explotan en cadena, un atacante con acceso de red a la interfaz administrativa del dispositivo puede eludir el control de autorización y obtener acceso root. La cadena completa afecta exclusivamente a Barracuda Email Security Gateway, el único producto expuesto simultáneamente a ambas vulnerabilidades. Los parches ya están disponibles, y la medida clave de reducción del riesgo es limitar el acceso a la interfaz administrativa.
Detalles técnicos de las vulnerabilidades
CVE-2026-116606 es una vulnerabilidad de authorization bypass previo a la autenticación que afecta únicamente a Barracuda Email Security Gateway. Según la divulgación de Mandiant, la vulnerabilidad está clasificada como CWE-288 (omisión de autenticación mediante una ruta o canal alternativos). De acuerdo con Mandiant, un atacante remoto no autenticado puede invocar la función de importación de configuración y restaurar un archivo de copia de seguridad especialmente preparado, lo que lleva a una modificación no autorizada de la configuración global del dispositivo. No se requiere autenticación: basta con la accesibilidad de red de la interfaz administrativa.
CVE-2026-111560 es una vulnerabilidad de command injection que afecta a un espectro mucho más amplio de productos Barracuda:
- Email Security Gateway (ESG)
- Load Balancer Application Delivery Controller (ADC)
- Message Archiver (BMA)
- WAF Control Center (WCC)
- Web Application Firewall (WAF)
- Web Security Gateway (WSG)
Para explotar CVE-2026-111560 se requiere acceso administrativo al dispositivo. Precisamente por ello, la cadena de las dos vulnerabilidades es críticamente peligrosa: CVE-2026-116606 permite eludir la autenticación en ESG, tras lo cual CVE-2026-111560 se utiliza para ejecutar comandos arbitrarios con privilegios root. Para los otros cinco productos, CVE-2026-111560 solo se explota si se dispone de credenciales administrativas legítimas, lo que reduce significativamente el riesgo práctico.
Divergencia en los datos sobre las versiones afectadas
Un detalle importante al que los administradores deben prestar atención: los datos sobre los límites de las versiones afectadas de ESG difieren entre las fuentes. En su tabla de parches, Barracuda utiliza la versión 9.4.017 como punto de separación para enrutar las actualizaciones: los sistemas en la versión 9.4.017 y superiores reciben el parche BNSF-40425, y los sistemas por debajo de 9.4.017 reciben el parche BNSF-40430. Por su parte, Mandiant indica que CVE-2026-116606 afecta a versiones de ESG anteriores a la 9.4.0.030. Las fuentes disponibles no permiten conciliar de forma inequívoca estos dos valores umbral. Los administradores deberían guiarse por las recomendaciones de Barracuda sobre el parche concreto para su versión de firmware, en lugar de confiar en un único límite numérico.
Estado de explotación
En el momento de la publicación, ninguna de las vulnerabilidades figura en el catálogo CISA Known Exploited Vulnerabilities. Las fuentes analizadas no contienen evidencias de explotación activa, atribución a grupos específicos, datos sobre víctimas ni indicadores de compromiso.
Al mismo tiempo, en el repositorio público de watchTowr se ha publicado un artefacto para comprobar la vulnerabilidad de la cadena en ESG, que incluye una demostración de ejecución de comandos (creación del archivo /tmp/test). La existencia de una herramienta pública de validación significa que la posibilidad técnica de reproducir el ataque está disponible para un amplio abanico de actores, lo que aumenta la probabilidad de que aparezcan ataques reales en un futuro próximo. No obstante, la mera existencia de dicha herramienta no constituye por sí misma una prueba de explotación en condiciones reales.
Evaluación del impacto
Están más expuestas las organizaciones cuyos dispositivos Barracuda ESG tienen la interfaz administrativa accesible desde Internet. Para estos sistemas, la cadena CVE-2026-116606 → CVE-2026-111560 representa una vía directa hacia la completa compromisión del dispositivo sin necesidad de autenticación. Teniendo en cuenta que ESG procesa todo el tráfico de correo entrante y saliente de la organización, la compromisión del dispositivo puede llevar a la interceptación de la correspondencia corporativa, la inserción de contenido malicioso en el flujo de correo y el uso del dispositivo como plataforma para una penetración posterior en la red.
Para los otros cinco productos afectados (ADC, BMA, WCC, WAF, WSG), el riesgo se limita al escenario de command injection en presencia de acceso administrativo, una amenaza grave pero menos probable si se siguen las prácticas básicas de gestión de accesos.
Recomendaciones
Prioridad de primer nivel: Barracuda ESG con interfaz administrativa accesible desde Internet:
- Restrinja inmediatamente el acceso a la interfaz administrativa de ESG, permitiendo conexiones únicamente desde redes internas de confianza.
- Compruebe la versión actual del firmware y determine el parche aplicable: BNSF-40425 para sistemas en la versión 9.4.017 y superiores, BNSF-40430 para sistemas por debajo de 9.4.017.
- Aplique el parche manualmente si la actualización automática no se ha completado. Barracuda señala que, en caso de un retraso significativo en la versión del firmware, pueden ser necesarias varias actualizaciones consecutivas.
- Active la recepción automática de parches si esta función estaba deshabilitada.
Para el resto de productos afectados, aplique los parches correspondientes: BNADC-16586 para ADC y WAF, BNMA-32468 para Message Archiver, BNWF-60060 para WAF Control Center, BNYF-24789 para Web Security Gateway.
Las organizaciones que utilicen Barracuda ESG deberían considerar este par de vulnerabilidades como un problema que requiere respuesta inmediata: la combinación de una puntuación CVSS 9.3 para el authorization bypass, la existencia de una herramienta pública de validación y el papel crítico del gateway de correo en la infraestructura no deja margen para posponer la actualización. La acción prioritaria es asegurarse de que la interfaz administrativa de ESG no sea accesible desde Internet y aplicar el parche correspondiente de Barracuda.
