ESTOY BAJO UN CIBER ATAQUE

Alerta

Logo de Barracuda

Alerta 2026-148 Explotación activa en Barracuda Email Security Gateway

Producto(s) afectado(s): 

ProductoVersiones afectadas
Barracuda Email Security Gateway (ESG)CVE-2026-116606 y CVE-2026-111560; se recomienda 9.4.0.030 o posterior
Load Balancer ADCSolo CVE-2026-111560; todas las versiones
Web Application Firewall (WAF)Solo CVE-2026-111560; todas las versiones
Web Security Gateway (WSG)Solo CVE-2026-111560; todas las versiones
Message Archiver (BMA)Solo CVE-2026-111560; 5.2 a 5.5.4.001
WAF Control Center (WCC)Solo CVE-2026-111560; todas las versiones

La cadena sin autenticación hasta root aplica únicamente a ESG y requiere acceso a la interfaz de administración.

Descripción

Se han publicado dos vulnerabilidades en Barracuda Email Security Gateway que, encadenadas y con acceso a la interfaz de administración, permiten eludir controles de autorización y obtener privilegios de root en el equipo. CVE-2026-116606 tiene CVSS 9.3, crítica, y CVE-2026-111560 tiene CVSS 8.6, alta.

CVE-2026-116606 es un bypass de autorización sin autenticación (CWE-288): un atacante remoto sin credenciales que alcance la interfaz de administración puede invocar la importación de configuración, restaurar un archivo de respaldo manipulado y modificar la configuración global. CVE-2026-111560 es una inyección de comandos del sistema (CWE-78) en el campo de zona horaria que, por sí sola, exige acceso de administrador autenticado y, al procesarse el valor, ejecuta comandos como root.

El 09/11/2026 a las 23:00 (PYT) el proveedor indicó que identificó actividad de explotación que afecta a un número reducido de organizaciones, sin atribuir actor, campaña ni ransomware. Hay una prueba de concepto pública de la cadena desde el 03/11/2026. Al 10/11/2026 estas vulnerabilidades no figuran en catálogos de vulnerabilidades explotadas conocidas. El proveedor no publicó indicadores de compromiso.

La inyección de comandos también afecta a otros productos Barracuda (Load Balancer ADC, Web Application Firewall, Web Security Gateway, Message Archiver y WAF Control Center), que tienen parches propios. En esos productos la falla sigue exigiendo acceso administrativo autenticado; no se afirma que la cadena previa a la autenticación hasta root aplique fuera de ESG.

Mitigación

El proveedor recomienda restringir la interfaz de administración a redes internas de confianza. Mientras se aplican las correcciones, se recomienda no exponerla a Internet. Además:

  • Inventariar equipos ESG, ADC, WAF, WSG, Message Archiver y WAF Control Center, incluidos entornos de prueba y de recuperación.
  • Actualizar ESG a 9.4.0.030 o posterior y verificar que estén aplicados los parches BNSF-40425 (en 9.4.017 o posterior) o BNSF-40430 (en versiones anteriores a 9.4.017). La documentación del proveedor indica que el firmware 9.4.0.029 o posterior ya incluye los parches; si el equipo está en 9.4.0.029, confirmar esos parches y, si está disponible, subir a 9.4.0.030 o posterior. Por debajo de 9.1, la actualización a 9.4 debe hacerse en dos pasos.
  • Aplicar los parches y firmwares indicados por el proveedor para el resto de productos y reactivar el parcheo automático.
  • Si la interfaz de administración estuvo expuesta, tratar el equipo como un posible compromiso: revisar cuentas de administrador, cambios de configuración, reglas de enrutamiento de correo y actividad posterior. Esta revisión es una recomendación general; el proveedor no publicó indicadores oficiales.
  • Tener en cuenta que el parche cierra la falla, pero no revierte un acceso ya obtenido.

Solución

La solución consiste en actualizar los productos afectados a las versiones y parches publicados por el proveedor, empezando por ESG:

  • Email Security Gateway: 9.4.0.030 o posterior, y verificar BNSF-40425 o BNSF-40430 según la rama.
  • Load Balancer ADC: parche BNADC-16586. Aplicación automática en 6.4 a 6.6.0.009; si es anterior, actualizar y apuntar a 6.6.0.009 o posterior.
  • Web Application Firewall: parche BNADC-16586. Automático en 11.0.1 a 12.3.0.011; si es anterior, 12.3.0.011 o posterior.
  • Web Security Gateway: parche BNYF-24789. Automático en 15.0.0.009 a 16.1.003; pedir 15.0.0.009 o posterior.
  • Message Archiver: parche BNMA-32468. Automático en 5.5.0 a 5.5.4.001 (el número de firmware no cambia); en 5.2 a 5.4.x, subir a 5.5.4.002.
  • WAF Control Center: parche BNWF-60060. Automático en 2.2.1 a 2.4.1.001; si es anterior, subir (la documentación menciona 2.4.1.001 o posterior) y verificar el parche.

Restringir el acceso a la interfaz de administración a redes de confianza.

Para info sobre cómo actualizar, visita el siguiente enlace:

https://trust.barracuda.com/security/pre-authentication-authorization-bypass-command-injection

Información adicional: