Los atacantes están explotando dos vulnerabilidades de Barracuda corregidas recientemente que, combinadas, pueden eludir los controles de autorización y obtener acceso root en un dispositivo. SecurityWeek informó de que Barracuda confirmó la explotación contra un pequeño número de organizaciones, lo que convierte las actualizaciones y las restricciones del acceso administrativo en una prioridad inmediata para los operadores afectados.
La omisión de autenticación afecta a Barracuda Email Security Gateway (ESG). La segunda vulnerabilidad, una inyección de comandos del sistema operativo, afecta a ESG y a otros productos de Barracuda. CISA añadió ambas a su catálogo de vulnerabilidades explotadas conocidas el 10 de noviembre de 2026, con una fecha de remediación indicada del 13 de noviembre y un requisito de triaje forense en la respuesta federal aplicable.
Cómo se relacionan las vulnerabilidades
CVE-2026-116606, con una puntuación CVSS de 9,3, permite a un atacante remoto no autenticado que pueda alcanzar la interfaz de administración de ESG invocar una función de importación de configuración. Al restaurar un archivo de respaldo manipulado pero compatible, el atacante puede realizar cambios no autorizados en la configuración global del dispositivo, explica el catálogo de CISA.
La segunda vulnerabilidad, CVE-2026-111560, tiene una puntuación CVSS de 8,6. Afecta a ESG, Load Balancer/Application Delivery Controller (ADC), Web Application Firewall (WAF), Web Security Gateway (WSG), Message Archiver (BMA) y WAF Control Center (WCC).
Explotar esa falla requiere acceso administrativo autenticado. CISA describe a un atacante que inserta comandos del sistema operativo en un valor de zona horaria manipulado; esos comandos se ejecutan con privilegios root cuando el valor se procesa después.
Los requisitos previos son importantes: la omisión de autenticación afecta a ESG, mientras que la inyección de comandos tiene un alcance de productos más amplio. CISA identifica las dos vulnerabilidades como encadenables, y Barracuda advirtió el 2 de noviembre de que combinarlas podría permitir a un atacante eludir los controles de autorización y obtener acceso root a un dispositivo, informó SecurityWeek.
Una semana después de esa advertencia, Barracuda actualizó su aviso para reconocer la explotación contra un pequeño número de organizaciones. Por separado, SecurityWeek informó de que la firma de ciberseguridad Previdian observó 17 intentos dirigidos a CVE-2026-116606 entre el 9 y el 11 de noviembre, procedentes de 15 direcciones IP en tres países.
Esas observaciones contabilizan intentos. El reconocimiento de Barracuda y las entradas del catálogo de CISA establecen la preocupación por la explotación; las puntuaciones CVSS describen la gravedad. CISA indica que se desconoce si ambas vulnerabilidades se han usado en campañas de ransomware.
La respuesta federal incluye triaje forense
Las entradas del catálogo de CISA indican a las agencias cubiertas que apliquen las mitigaciones siguiendo las instrucciones del proveedor y que cumplan la Directiva Operativa Vinculante 26-04 (BOD 26-04) y sus requisitos de triaje forense. También piden seguir la guía aplicable para servicios en la nube o dejar de usar el producto si no hay mitigaciones disponibles.
La fecha del catálogo, el 13 de noviembre, se enmarca en una directiva que rige a las agencias de la Rama Ejecutiva Civil Federal de Estados Unidos. Con arreglo a la BOD 26-04, los plazos de respuesta específicos de cada activo dependen de la exposición pública, del estado en el catálogo KEV, de si la explotación puede automatizarse y del impacto técnico. Las agencias deben evaluar la exposición de cada activo; la fecha del catálogo no es un plazo legal universal para cada organización ni para cada dispositivo.
Para la categoría de respuesta de tres días, la directiva exige corregir o mitigar en ese periodo y realizar un triaje forense para evaluar si hubo compromiso. Retirar un sistema de internet puede modificar su clasificación de exposición y el plazo para acciones posteriores.
La guía de implementación de CISA indica a las agencias que delimiten los sistemas afectados y preserven las evidencias antes de modificarlos o remediarlos, siempre que sea posible. Primero deben recopilarse los datos volátiles, manteniendo registros de la recopilación, porque el parcheo y la contención pueden destruir artefactos necesarios para el análisis.
Después, las agencias deben aplicar los parches críticos, coordinar la contención con la recopilación de evidencias, aislar los sistemas afectados o sospechosos y examinar las evidencias en busca de acceso no autorizado, presencia del atacante, movimiento lateral, persistencia y preparación de datos para su exfiltración. Los tiempos objetivo de triaje individuales de la guía son prácticas recomendadas; el requisito es realizar un triaje forense adecuado.
Los administradores que ejecuten los productos Barracuda afectados deben instalar las actualizaciones aplicables cuanto antes. SecurityWeek también aconseja mantener las interfaces administrativas fuera de internet y restringir el acceso a redes internas de confianza. Las agencias federales cubiertas deben combinar la mitigación indicada por el proveedor con la evaluación obligatoria para detectar compromiso.
