CVE-2026-116606: se explota una omisión de autenticación de Barracuda ESG: actualización y comprobación de compromiso

Barracuda publicó el 2 de noviembre de 2026 un aviso sobre dos vulnerabilidades en Barracuda Email Security Gateway (ESG) y proporcionó parches el mismo día. CVE-2026-116606 es una omisión de autenticación con una puntuación CVSS 4.0 de 9.3: un atacante sin iniciar sesión puede acceder, a través de la interfaz de administración, a una función de importación de configuraciones, restaurar una copia de seguridad manipulada y modificar así la configuración global del appliance. Según NVD y Mandiant, están afectadas todas las versiones de ESG anteriores a 9.4.0.030. Junto con la inyección de comandos CVE-2026-111560, es posible obtener acceso root al dispositivo, según Barracuda. El 9 de noviembre de 2026, Barracuda añadió al aviso que las vulnerabilidades habían sido explotadas en un pequeño número de organizaciones. La agencia estadounidense CISA incorporó ambas CVE a su catálogo de vulnerabilidades explotadas conocidas (KEV) el 10 de noviembre de 2026.

Lo más importante en breve

Versiones afectadas y actualizaciones

Barracuda identifica las correcciones en el aviso mediante identificadores de parche; el límite de versión 9.4.0.030 procede de la entrada CVE de Mandiant y de NVD. La denominación «9.4.017» corresponde al aviso. Si el firmware está varias versiones atrasado, según Barracuda puede ser necesaria más de una actualización antes de que se aplique el parche.

CVE-2026-111560 (inyección de comandos, CVSS 4.0: 8.6) afecta a otros productos además de ESG. Sin CVE-2026-116606, su explotación requiere privilegios de administrador. Los límites de versión proceden del resumen de Beazley Security y los identificadores de parche del aviso de Barracuda:

Lo que se sabe sobre la explotación

Barracuda escribió en la actualización del 9 de noviembre de 2026 que había detectado explotación en un pequeño número de organizaciones. Barracuda no proporciona detalles sobre el número de afectados, los atacantes ni el procedimiento; el aviso no contiene indicadores (IoC). CISA incluye CVE-2026-116606 y CVE-2026-111560 en el catálogo KEV desde el 10 de noviembre de 2026 y exige a las agencias federales estadounidenses, antes del 13 de noviembre de 2026, aplicar las medidas del fabricante y realizar una revisión forense conforme a BOD 26-04. Si no es posible remediarlo, CISA indica que el producto debe retirarse de servicio.

Barracuda notificó la vulnerabilidad el 22 de octubre de 2026; Mandiant publicó la entrada CVE y el aviso MNDT-2026-0042 el 2 de noviembre de 2026. Según Mandiant, el ataque se produce mediante la importación de configuraciones: una copia de seguridad manipulada y compatible se restaura sin iniciar sesión y sobrescribe la configuración global. Según SecurityWeek, CVE-2026-111560 reside en el ajuste de la zona horaria y permite ejecutar comandos con privilegios root.

Según SecurityOnline, watchTowr Labs publicó un análisis técnico y un script para la cadena en GitHub. El repositorio es público; watchTowr describe el script como «Detection Artifact Generator», y según SecurityOnline acepta comandos arbitrarios. SecurityOnline describe las causas de la siguiente manera: un cambio de contraseña fallido informa de un error, pero no interrumpe el procesamiento; la suma de comprobación de los archivos de copia de seguridad se basa en un secreto integrado, lo que permite falsificar copias de seguridad válidas; posteriormente, un valor de zona horaria en la copia de seguridad ejecuta como root el comando inyectado. Se desconoce si los ataques observados utilizan este script.

Medidas inmediatas

1. Comprobar el estado de los parches: En la interfaz web, en ADVANCED > Firmware Update, obtenga los parches disponibles en la sección «Firmware Patches» mediante «Sync Now» y compruebe si se ha aplicado BNSF-40425 o BNSF-40430. Según Barracuda, los parches podrían haberse instalado automáticamente.

2. Instalar el parche o actualizar el firmware: Si falta el parche, instálelo manualmente de inmediato. En el modo «Automatic», según la documentación de Barracuda, el appliance no se reinicia automáticamente tras un parche; si es necesario reiniciarlo, hágalo manualmente. Con firmware antiguo, realice primero los pasos de actualización necesarios.

3. Activar la aplicación automática de parches: Si «Apply Patches» está configurado en «Disable» (valor predeterminado según la documentación) o «Manual», Barracuda recomienda volver a activar la aplicación automática.

4. Aislar la interfaz de administración: Restrinja el acceso a la interfaz de administración a redes internas de confianza, como una red de administración o una VPN, y aplíquelo en el firewall perimetral. Barracuda considera menos expuestos los dispositivos cuya interfaz de administración no es accesible desde Internet. Esta medida no sustituye al parche.

5. Comprobar otros productos de Barracuda: Verifique que Load Balancer ADC, WAF, WSG, Message Archiver y WAF Control Center tengan los parches para CVE-2026-111560.

Comprobación de compromiso

Barracuda y CISA no publican indicadores. Dado que la vulnerabilidad está siendo explotada y puede aprovecharse sin iniciar sesión, debe comprobarse todo dispositivo cuya interfaz de administración fuera accesible desde fuera de la red de administración antes del parche. Field Effect recomienda lo siguiente:

1. Aclarar la accesibilidad: Determine si la interfaz de administración era accesible desde Internet o desde redes externas a la administración, y desde cuándo; conserve los registros de firewall y proxy de ese período.

2. Evaluar accesos administrativos: Revise los accesos a la interfaz de administración desde direcciones desconocidas.

3. Buscar importaciones de configuración: Las restauraciones de copias de seguridad de configuración que no procedan de la propia administración son un indicio de CVE-2026-116606.

4. Comprobar cambios de configuración: Revise la configuración en busca de entradas inesperadas. Es útil compararla con una copia de seguridad limpia conocida; esto incluye también la configuración de zona horaria, mediante la cual se activa CVE-2026-111560.

5. Cambiar credenciales: Si se sospecha un compromiso, cambie todas las credenciales, claves y cuentas accesibles desde el appliance.

Según la descripción de la CVE, un ataque exitoso modifica la configuración global; en combinación con CVE-2026-111560 es posible obtener acceso root. Las fuentes no indican si el parche revierte tales cambios. Por ello, siga comprobando también después de la actualización y conserve los registros y la configuración antes de realizar cambios, para que siga siendo posible un análisis forense. Tras la campaña en torno a CVE-2023-2868, Barracuda había exigido, según SecurityWeek, la sustitución de los dispositivos comprometidos; hasta ahora no existe tal recomendación para las vulnerabilidades actuales (a 11 de noviembre de 2026).

Contexto

CVE-2026-116606 afecta exclusivamente a operadores de Barracuda Email Security Gateway; CVE-2026-111560 afecta además a otros cinco productos de Barracuda. ESG ya había sido objetivo de ataques dirigidos anteriormente: según BleepingComputer, CVE-2023-2868 fue explotada por el grupo UNC4841 desde al menos octubre de 2022 y, según Mandiant (citado por BleepingComputer), casi un tercio de los dispositivos comprometidos entonces pertenecía a autoridades. No se encontraron comunicados de NCSC Suiza, BSI o CERT-FR sobre CVE-2026-116606 hasta el 11 de noviembre de 2026.