Dos fallos en Email Security Gateway de Barracuda pueden combinarse para ejecutar comandos sin iniciar sesión, lo que otorga acceso root, el nivel de control más alto del dispositivo. The Hacker News informó de que Barracuda publicó parches el lunes, y la empresa de seguridad watchTowr detalló la cadena de ataque el jueves.
Las organizaciones que usan este dispositivo de filtrado de correo deben comprobar el estado de sus parches: la versión 9.4.0.030 o posteriores de Email Security Gateway incluye las correcciones. Uno de los fallos también afecta a otros cinco productos de Barracuda, aunque explotarlo en esos productos sigue requiriendo una cuenta de administrador.
Cómo se combinan los dos fallos
CVE-2026-116606 es un bypass de autorización, es decir, un fallo al aplicar las restricciones de acceso. Afecta solo a Email Security Gateway y permite que un atacante no autenticado restaure una copia de seguridad de configuración diseñada especialmente, cambiando la configuración global del dispositivo.
El segundo fallo, CVE-2026-111560, es una inyección de comandos: los datos proporcionados al dispositivo pueden convertirse en comandos del sistema operativo. Se ejecutan como root, pero normalmente requiere acceso de administrador. En Email Security Gateway, el bypass de autorización proporciona el acceso necesario para explotarlo sin iniciar sesión.
Mandiant, que asignó los dos identificadores CVE, asigna al bypass una puntuación de 9,3 sobre 10 y a la inyección de comandos, de 8,6.
En su análisis técnico, watchTowr atribuyó el bypass a una solicitud fallida de cambio de contraseña. En lugar de rechazar la solicitud, el código devuelve un rol de bajos privilegios, lo que deja accesible la función de restauración de copias de seguridad a quien no se haya autenticado.
La copia de seguridad cargada puede contener un valor de zona horaria que el dispositivo ejecuta después como comando de shell con privilegios root. Las copias de seguridad tienen una suma de comprobación (checksum), un valor que sirve para verificar su integridad, pero el secreto utilizado para calcularla está incrustado en el código. Eso permite a un atacante falsificar una suma válida para una copia maliciosa. watchTowr demostró la cadena escribiendo un archivo en el dispositivo como root.
Los investigadores también publicaron una herramienta para comprobar si un dispositivo es vulnerable, pero no han publicado un exploit. The Hacker News no informó de ataques públicos vinculados a ninguno de los dos fallos y señaló que ninguno aparecía en el catálogo Known Exploited Vulnerabilities (KEV) de CISA esa semana.
Email Security Gateway fue atacado anteriormente por UNC4841 en 2023 mediante otra vulnerabilidad, CVE-2023-2868, antes de que hubiera una corrección disponible. El catálogo de CISA incluye esa vulnerabilidad anterior; esos ataques no están relacionados con el par recién revelado.
Qué deben hacer los administradores
The Hacker News informa de que Barracuda ha publicado parches para todos los productos afectados, y el firmware corregido específico de cada producto figura en su aviso de seguridad. Los administradores deben aplicar el parche correspondiente o actualizar al firmware corregido; en el caso de Email Security Gateway, es la versión 9.4.0.030 o posterior.
El aviso de Barracuda recomienda además restringir la interfaz de administración a redes internas de confianza si no es posible aplicar el parche de inmediato. Los administradores que desactivaron las actualizaciones automáticas de parches deben volver a activarlas.
