Grave fallo en Barracuda: la pasarela de correo de la empresa puede ser tomada sin contraseña

La pasarela de correo que debería proteger la correspondencia corporativa puede convertirse en un punto de entrada para la toma del dispositivo. El 2 de noviembre Barracuda advirtió sobre dos vulnerabilidades en sus productos de seguridad. La aplicación conjunta de los errores permite eludir la verificación de privilegios y obtener acceso de nivel root, es decir, el control total sobre el sistema operativo del dispositivo.

El primer eslabón de la cadena, CVE-2026-116606, se encuentra en Barracuda Email Security Gateway (ESG). A través de un fallo de autorización, un usuario no autorizado puede invocar la función de importación de configuraciones y subir una copia de seguridad especialmente preparada. Como resultado, la configuración general de la pasarela se modifica sin el permiso del administrador. La vulnerabilidad obtuvo 9,3 puntos según CVSS 4.0.

La segunda vulnerabilidad, CVE-2026-111560, se detectó en el procesamiento de la configuración de la zona horaria. Como precisó Mandiant, el sistema no limpia suficientemente los caracteres especiales, por lo que un administrador puede inyectar comandos del sistema operativo. Al procesarse posteriormente el parámetro, los comandos se ejecutan con privilegios root. El fallo obtuvo 8,6 puntos según CVSS 4.0.

Por separado, las deficiencias requieren condiciones distintas. Para inyectar comandos se necesitan privilegios de administrador, pero la vulnerabilidad de importación de configuraciones permite eludir la autorización en ESG. Al combinar ambos métodos, un atacante potencialmente avanza desde el acceso al panel web hasta la ejecución de comandos arbitrarios con privilegios máximos. Para ese tipo de ataque, la interfaz de gestión debe estar accesible desde el exterior.

El fallo de elusión de autorización afecta solo a Barracuda Email Security Gateway, mientras que la inyección de comandos está presente también en cinco productos más de Barracuda. La lista incluye Application Delivery Controller, Message Archiver, WAF Control Center, Web Application Firewall y Web Security Gateway. Para los demás dispositivos, el fabricante describe el riesgo de ejecución de comandos si existen privilegios administrativos, sin la primera parte de la cadena.

Barracuda publicó correcciones para los seis productos. En la descripción de Mandiant se nombran como vulnerables las versiones de ESG anteriores a 9.4.0.030, mientras que la documentación del fabricante indica la versión de firmware 9.4.0.029 como la que contiene las correcciones. Frente a esta discrepancia, conviene comprobar la versión de firmware más reciente disponible y la presencia de todos los parches necesarios. Para los demás productos se han previsto actualizaciones independientes.

El fabricante aconseja cerrar las interfaces administrativas al acceso directo desde internet, limitar la gestión a redes internas de confianza y comprobar la instalación automática de parches. Si el dispositivo no se ha actualizado durante mucho tiempo, la migración a la firmware actual puede requerir varios pasos. Hasta ahora no hay confirmaciones públicas de explotación de estas nuevas vulnerabilidades en ataques reales.

Para Barracuda ESG la amenaza de toma de control no fue la primera. En 2023, tras la explotación de otra vulnerabilidad y el hallazgo de software malicioso, la empresa recomendó reemplazar los dispositivos afectados, ya que las correcciones por sí solas resultaron insuficientes. La advertencia actual se refiere a fallos distintos y no contiene datos sobre sistemas comprometidos ni sobre la necesidad de sustituir equipos.