CVE-2026-116606: Authentication Bypass Allows Global Configuration Restore in Barracuda Email Security Gateway

Análisis en rafaelpfister.ch

Artículo · 11 de noviembre de 2026 CVE-2026-116606: se explota una omisión de autenticación de Barracuda ESG: actualización y comprobación de compromiso Una omisión de autenticación en Barracuda Email Security Gateway anterior a 9.4.0.030 (CVE-2026-116606, CVSS 4.0: 9.3) permite importar una copia de seguridad de configuración manipulada sin iniciar sesión. Barracuda confirma ataques y CISA incluye la vulnerabilidad en su catálogo KEV desde el 10 de noviembre de 2026. Hay parches disponibles desde el 2 de noviembre; la interfaz de administración no debería ser accesible desde Internet.

Descripción del fabricante (en inglés)

An authentication bypass in Barracuda Email Security Gateway versions earlier than 9.4.0.030 allows an unauthenticated remote attacker to invoke a configuration-import function and restore a crafted, compatible backup archive, resulting in unauthorized modification of the appliance’s global configuration.

Datos de referencia

Fabricante

Barracuda Networks

Productos afectados

Barracuda Email Security Gateway (ESG)

CVSS 4.0

9.3 (CRITICAL)

Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Tipo de debilidad

CWE-288: Authentication bypass using an alternate path or channel

Publicada

2 de noviembre de 2026

En el catálogo KEV desde

10 de noviembre de 2026

Plazo agencias federales de EE. UU.

13 de noviembre de 2026

Fuentes oficiales

← Todas las vulnerabilidades