Dos fallas en filtros de correo de Barracuda dan control total y ya se explotan

Barracuda Networks confirmó que atacantes explotan dos fallas de su Email Security Gateway (ESG), el equipo que filtra el correo de una empresa antes de que llegue a las casillas, y que encadenadas permiten tomar el control como rootUsuario con todos los permisos en sistemas Linux y Unix, también llamado superusuario. Quien obtiene acceso como root controla el equipo por completo. sin usuario ni contraseña. "Identificamos actividad de explotación que afecta a un pequeño número de organizaciones", escribió la empresa en la actualización de su aviso de seguridad del 9 de noviembre a las 21:00 de la costa este de Estados Unidos (2:00 UTC del 10 de noviembre, 23:00 del 9 en Buenos Aires, Santiago y São Paulo, 21:00 en Bogotá y Lima, 20:00 en Ciudad de México).

Los parches existen desde el 2 de noviembre. Horas después de la confirmación, la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) sumó las dos fallas a su catálogo KEVcatálogo de vulnerabilidades explotadas conocidas (KEV) Lista pública de la Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) que reúne vulnerabilidades con evidencia de explotación activa, para que se prioricen al corregir. con un plazo inusualmente corto, el 13 de noviembre, y les exigió a las agencias federales civiles un análisis forense de sus equipos, algo que no pidió para las otras fallas que agregó ese día.

Qué es la falla

Son dos fallas que se combinan. La primera, CVE-2026-116606, es un salto de autenticaciónFalla que permite entrar a un sistema o usar sus funciones sin pasar por el control de usuario y contraseña, como si el atacante ya estuviera identificado. que solo afecta al ESG. Según la ficha de Mandiant, deja a un atacante sin credenciales usar la función de importar configuración y cargar una copia de respaldoCopia de los datos y sistemas de una organización guardada aparte, para poder recuperarlos si el original se borra, se daña o queda bloqueado por un ataque. También se la llama backup. armada, con lo que cambia la configuración del equipo. La segunda, CVE-2026-111560, es una inyección de comandosVulnerabilidad en la que un programa arma una orden para el sistema operativo con datos que llegan de afuera sin filtrarlos bien, lo que permite a un atacante agregar comandos propios que el sistema ejecuta. en el campo del huso horario, que según la otra ficha de Mandiant ejecuta órdenes del sistema como root, aunque por sí sola exige ser administrador.

Juntas, una copia de respaldo con un huso horario adulterado alcanza para ejecutar comandos como root. La condición es que el atacante llegue a la interfaz de administración del equipo. Barracuda corrigió el 5 de noviembre su propio aviso, que al principio decía que la primera falla exigía acceso de administrador, y aclaró que no hace falta autenticarse.

Los puntajes CVSSEstándar abierto de la industria, promovido por la organización FIRST, que asigna un puntaje a cada vulnerabilidad para expresar su gravedad y ayudar a decidir con qué urgencia responder. son 9,3 y 8,6 sobre 10, aunque Barracuda califica a ambas como de severidad "alta".

A quién afecta

• Email Security Gateway (ESG), el único afectado por la cadena completa sin contraseña. Mandiant ubica la primera falla en las versiones anteriores a la 9.4.0.030.
• Load Balancer ADC, Web Application Firewall (WAF), WAF Control Center, Web Security Gateway y Message Archiver, afectados solo por la inyección de comandos, que en ellos exige credenciales de administrador.
• Barracuda señala que las organizaciones cuya consola de administración no está abierta a internet están menos expuestas.

Estado de explotación

Explotada, según Barracuda y CISA. La empresa no dijo cuántas organizaciones fueron atacadas ni quién está detrás. A The Register le respondió solo que "trabajó directamente" con las afectadas y declinó dar la cifra.

Hay código de ataque público. La firma watchTowr publicó el 5 de noviembre un análisis técnico de la cadena junto con una prueba de conceptoCódigo o demostración que muestra que una vulnerabilidad puede aprovecharse en la práctica, sin ser necesariamente una herramienta de ataque completa., según su blog, cuatro días antes de que Barracuda confirmara los ataques. Cyber Security News remarcó que el aviso de Barracuda no detalla el método usado en los incidentes.

Antecedentes

El ESG ya fue blanco de espionaje. Desde octubre de 2022, un grupo vinculado a China explotó en estos equipos la falla CVE-2023-2868 cuando todavía no tenía parche, y Barracuda terminó pidiendo a los clientes afectados que reemplazaran los aparatos, recordó SecurityWeek. Según The Register, Mandiant calculó que el 27 % de las organizaciones afectadas entonces eran entidades de gobierno.

Qué hacer

• Verificar que el equipo tenga el último firmwarePrograma interno grabado en un aparato electrónico, como un router o un controlador industrial, que maneja sus funciones básicas. Se actualiza aparte del resto del software. y el parche que corresponde, porque los parches se aplican solos salvo que la actualización automática esté apagada. Para el ESG son BNSF-40425 (versión 9.4.017 o posterior) y BNSF-40430 (versiones anteriores).
• Para los demás productos, BNADC-16586 (Load Balancer ADC y WAF), BNMA-32468 (Message Archiver), BNWF-60060 (WAF Control Center) y BNYF-24789 (Web Security Gateway).
• Cerrar el acceso a la consola de administración desde internet y dejarla solo para redes internas de confianza.
• Buscar señales de intrusión en todo ESG que haya tenido la consola expuesta, en la línea del análisis forense que CISA les exige a las agencias, y pedir ayuda al soporte de Barracuda si el firmware está varias versiones atrasado. El Centro Canadiense de Ciberseguridad también publicó un aviso sobre estas fallas.

Ficha técnica

• Producto: Barracuda Email Security Gateway y otros cinco equipos de la marca.
• CVEIdentificador único que recibe cada vulnerabilidad conocida públicamente, con la forma CVE-año-número, para que fabricantes, investigadores y defensores hablen de la misma falla.: CVE-2026-116606 y CVE-2026-111560, publicados el 2 de noviembre de 2026.
• CVSS 4.0: 9,3 (CVE-2026-116606) y 8,6 (CVE-2026-111560), severidad alta para Barracuda.
• CWE: CWE-288, autenticación salteada por una vía alternativa, y CWE-78, inyección de comandos del sistema operativo.
• Parches: BNSF-40425 y BNSF-40430 (ESG), BNADC-16586, BNMA-32468, BNWF-60060 y BNYF-24789.
• Aviso del fabricante: Barracuda, actualizado el 9 de noviembre de 2026.
• Alta en el catálogo KEV de CISA: 10 de noviembre de 2026, con plazo al 13 de noviembre y análisis forense obligatorio, según el catálogo.