Pasarelas de correo Barracuda: dos fallos encadenados dan acceso root y ya se explotan

Vigilancia cibernética de Top-Secured: análisis independiente basado en las fuentes citadas más abajo. Top-Secured no está afiliado a las empresas mencionadas y nunca le pedirá sus datos bancarios ni sus contraseñas.

Barracuda informa de la explotación de dos fallos que, combinados, dan acceso root a sus Email Security Gateway. Uno de ellos afecta también a sus WAF, balanceadores de carga, archivadores y pasarelas web. La CISA los añadió a su catálogo de vulnerabilidades explotadas el 10 de noviembre.

Qué ha pasado

El 2 de noviembre de 2026, Barracuda publicó un aviso sobre dos vulnerabilidades, divulgadas ese mismo día por Mandiant. La noche del 9 de noviembre, el fabricante lo actualizó: ha detectado explotación que afecta a un pequeño número de organizaciones. Al día siguiente, la CISA incluyó ambos fallos en su catálogo KEV, con plazo hasta el 13 de noviembre para las agencias federales de EE. UU.

• CVE-2026-116606 (CVSS 9.3), solo en Email Security Gateway (ESG): sin autenticarse, un atacante que alcance la interfaz de administración puede invocar la función de importación de configuración y restaurar una copia manipulada que reescribe los ajustes del equipo.
• CVE-2026-111560 (CVSS 8.6): un administrador puede inyectar comandos del sistema a través del campo de zona horaria, que se ejecutan como root. Afecta a ESG, Load Balancer ADC, Web Application Firewall, Message Archiver, Web Security Gateway y WAF Control Center.

Quién está en riesgo

Encadenados, los dos fallos permiten pasar de no tener cuenta a ser root en el equipo, según Barracuda. Los dispositivos cuya interfaz de administración es accesible desde Internet son los más expuestos. Según Mandiant, están afectados, entre otros, ESG hasta 9.4.0.27, ADC hasta 6.4.0, WAF hasta 11.0.1, Message Archiver hasta 5.5.4.0, Web Security Gateway hasta 16.1.100.100 y WAF Control Center hasta 2.2.1.

Qué hacer ahora

1. Compruebe el estado de los parches en la interfaz de cada equipo: Barracuda los aplica normalmente de forma automática (en ESG, BNSF-40425 o BNSF-40430 según el firmware). Si falta, instálelo a mano y reactive las actualizaciones automáticas.
2. Actualice los firmwares antiguos: un equipo con varias versiones de retraso puede requerir varias actualizaciones sucesivas.
3. Cierre la interfaz de administración a Internet: solo redes internas o VPN, y compruebe desde una conexión externa que la página ya no responde.
4. Busque rastros: cambios o restauraciones de configuración inesperados, valores extraños en la zona horaria, cuentas de administrador desconocidas.
5. En caso de duda, contacte con el soporte de Barracuda y cambie todas las credenciales guardadas en el equipo (cuentas de directorio, relés SMTP, certificados).

Nuestra opinión

Un equipo de seguridad es un servidor, con una página de administración que nunca debería estar expuesta a Internet. Los parches automáticos son una gran ventaja, siempre que alguien verifique que se han aplicado. Una pasarela de correo ve pasar todos sus mensajes: trátela como un servidor crítico.

Fuentes

• Barracuda — Pre-Authentication Authorization Bypass and Command Injection Vulnerabilities in Certain Barracuda Products
• CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-116606 (Barracuda ESG)
• Mandiant — MNDT-2026-0042: Barracuda ESG authentication bypass (CVE-2026-116606)
• Mandiant — MNDT-2026-0041: Barracuda command injection (CVE-2026-111560)

Cómo elegimos, verificamos y redactamos nuestros análisis →