La amenaza se hizo realidad: Barracuda admite ataques a las pasarelas de correo corporativas

Las correcciones salieron hace una semana, pero las vulnerabilidades de Barracuda ya se están usando en ataques reales. La noche del 9 de noviembre la empresa confirmó la explotación contra un pequeño número de organizaciones. El fabricante no nombró a los afectados, los países, el número de dispositivos afectados ni la naturaleza del daño. Aún se desconoce si los atacantes obtuvieron acceso con privilegios de root.

Se trata de CVE-2026-116606 con una puntuación de 9,3 y CVE-2026-111560 con una puntuación de 8,6 según CVSS 4.0. El primer fallo permite eludir la autorización en la pasarela de correo Email Security Gateway; el segundo permite ejecutar comandos con privilegios de root. Juntas, las vulnerabilidades permiten comprometer la pasarela sin una cuenta de administrador.

Tres días después del boletín inicial, especialistas de watchTowr demostraron cómo combinar ambos fallos en una sola petición HTTP. La demostración prueba la posibilidad de ejecución remota de comandos en un ESG vulnerable sin contraseña. Se publicó una herramienta pública para verificar dispositivos. Sin embargo, Barracuda no aclaró si los atacantes utilizaron exactamente esa cadena.

La causa de la evasión estaba en el manejo de un intento fallido de cambio de contraseña. En vez de detener la petición, la interfaz web continuaba ejecutando manejadores, incluido el restablecimiento de la configuración desde una copia de seguridad. Un archivo especialmente diseñado permitía modificar ajustes sin autenticación. El 3 de noviembre la cadena ya fue descrita como una amenaza potencial, pero entonces no había confirmaciones de ataques.

El segundo fallo estaba en la configuración de la zona horaria. Al restaurar los parámetros, el programa pasaba el valor de una variable al comando del shell sin validar caracteres especiales. La suma de verificación de la copia de seguridad se basaba en un secreto fijo integrado en el código. En un escenario de laboratorio se pudo eludir la protección del archivo y lograr la ejecución de comandos con privilegios de root.

El riesgo afecta no solo a las pasarelas de correo. La vulnerabilidad de inyección de comandos también se encontró en Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall y Web Security Gateway. No obstante, la elusión de autorización está confirmada solo en ESG. Para los otros cinco productos, explotar el fallo de inyección de comandos por separado requiere privilegios administrativos.

Para atacar un ESG sin contraseña se necesita acceso de red al panel administrativo. Mantener la interfaz cerrada desde Internet reduce la amenaza, pero no descarta un ataque desde la red interna. Según Mandiant, la elusión de autorización afecta a ESG hasta la versión 9.4.0.030. Barracuda considera la versión de firmware 9.4.0.029 como corregida. Debido a la discrepancia, es necesario comprobar tanto la versión como los parches instalados.

Las correcciones para los seis productos se publicaron el 2 de noviembre. Para ESG hay parches BNSF-40425 y BNSF-40430 según la versión de firmware, y para los demás dispositivos se han lanzado paquetes separados. Barracuda recomienda comprobar las actualizaciones y cerrar los paneles de gestión al acceso desde Internet. En algunos dispositivos el parche no cambia el número de firmware. Aún no hay confirmación de una campaña masiva ni de robo de correspondencia.