VULNERABILIDAD
Barracuda confirma explotación activa de fallos críticos en su gateway de correo ESG
La empresa advirtió que atacantes aprovechan dos vulnerabilidades encadenables en Email Security Gateway para eludir la autenticación y ejecutar comandos con privilegios de root en un número reducido de organizaciones.
Barracuda Networks advirtió que atacantes están explotando activamente dos vulnerabilidades recientemente parcheadas en sus appliances Email Security Gateway (ESG). La compañía identificó actividad de explotación que afecta a un número reducido de organizaciones y publicó parches de seguridad para los productos alcanzados.
Las fallas fueron identificadas como CVE-2026-116606, con severidad 9.3, y CVE-2026-111560, con 8.6. La primera proviene de una debilidad de autenticación que permite modificar la configuración global del appliance; la segunda permite inyectar comandos del sistema operativo que se ejecutan con privilegios de root.
Según la empresa, la explotación exitosa requiere acceso a la interfaz administrativa del dispositivo afectado. Encadenadas, ambas fallas podrían permitir a un atacante eludir los controles de autorización y obtener acceso root al equipo.
La agencia CISA incorporó CVE-2026-111560 a su catálogo de vulnerabilidades explotadas conocidas, que abarca ESG, Load Balancer, Application Delivery Controller, Message Archiver, WAF Control Center, Web Application Firewall y Web Security Gateway, y pidió aplicar las mitigaciones indicadas por el fabricante.
Cómo ocurrió
- Confirmado
- Falla de autenticaciónCVE-2026-116606 permite modificar la configuraciónConfirmado.
- Inyección de comandosCVE-2026-111560 ejecuta comandos como rootConfirmado.
- Interfaz administrativaRequiere acceso a la Admin UI del applianceConfirmado.
- Elusión de controlesEncadenadas evitan la autorizaciónConfirmado.
- Acceso rootControl total del dispositivo afectadoConfirmado.
Barracuda ESGClientes con appliances comprometidosConfirmado.
Reconstrucción de DUPIN Noticias según lo informado.
Qué se sabe
ACREDITADO
- Barracuda confirmó que las dos vulnerabilidades están siendo explotadas y que la actividad afecta a un número reducido de organizaciones.
- La empresa publicó parches para los productos afectados y recomendó actualizar de inmediato.
- Barracuda indicó que la explotación requiere acceso a la interfaz administrativa del appliance.
- CISA incluyó CVE-2026-111560 en su catálogo de vulnerabilidades explotadas conocidas.
SIN VERIFICAR O ABIERTO
- No se informó la identidad de los atacantes ni de las organizaciones comprometidas.
- No se detalló cuántos dispositivos fueron afectados ni qué tipo de datos o accesos pudieron quedar expuestos.
- No se precisó si la explotación derivó en robo de información o en otro tipo de impacto.
Contexto
Barracuda ya enfrentó incidentes previos en sus appliances ESG. En 2023 parcheó CVE-2023-7102, explotada como zero-day por el grupo UNC4841 para ejecutar código arbitrario, y ese mismo año el grupo abusó de otra falla, CVE-2023-2868, en una serie de ataques de ciberespionaje.
La compañía reveló entonces que esa vulnerabilidad había sido explotada como zero-day durante al menos siete meses, desde octubre de 2022, para instalar malware previamente desconocido y robar datos de los dispositivos comprometidos.
De acuerdo con la firma Mandiant, casi un tercio de los sistemas vulnerados en la campaña de 2023 pertenecía a agencias gubernamentales, en su mayoría atacadas entre octubre y diciembre de 2022.
Qué hacer
- Actualizar los appliances Aplicar los parches publicados por Barracuda para Email Security Gateway y el resto de los productos afectados lo antes posible.
- Restringir la interfaz administrativa Limitar el acceso a la Admin UI a redes internas confiables y usar controles de acceso de red para reducir la exposición.
- Revisar indicios de intrusión Buscar accesos no autorizados, cambios de configuración y comandos ejecutados con privilegios elevados en los dispositivos.
- Rotar credenciales sensibles Cambiar contraseñas y claves que hayan estado accesibles desde los equipos afectados y revisar los accesos de proveedores.
CÓMO SE ELABORÓ Nota de la redacción de DUPIN Noticias, escrita con asistencia de inteligencia artificial a partir de información pública y revisada con reglas editoriales automáticas. Lo que no está verificado se marca como tal. ¿Encontraste un error? Pedí una corrección · Metodología.
