¿Tecnología Geek te ahorra tiempo? Agréganos como tu fuente preferida en Google y ve más noticias nuestras en tus resultados. Fuente preferida en Google
Los fallos explotados del Barracuda Email Security Gateway ya no son un aviso con parche disponible y tiempo de sobra. Barracuda confirmó el 9 de noviembre, a las 9:00 de la noche hora del este, actividad de explotación real contra un número pequeño de organizaciones.
Un día después, la Agencia de Ciberseguridad e Infraestructura de Estados Unidos (CISA) metió los dos fallos en su catálogo de vulnerabilidades explotadas conocidas, el KEV, con fecha límite del 13 de noviembre para las agencias federales civiles.
El plazo cambia la lectura del caso. CISA suele dar dos semanas para corregir un fallo explotado; para estos dos dio tres días. Y la orden no pide solo parchear: las dos fichas del catálogo exigen revisión forense, buscar señales de intrusión previa antes de dar el equipo por limpio. Parchear cierra la puerta. No expulsa a quien ya entró.
La historia empezó el 2 de noviembre, cuando Barracuda publicó el aviso con los parches y la cadena de dos fallos capaz de dar acceso root quedó contada en la pieza de este medio sobre el aviso original.
Aquella semana no había ataques conocidos. Nueve días después el panorama es otro: hay explotación confirmada por el propio fabricante, entrada al catálogo federal y una cuenta atrás que termina este viernes.
Qué cambió entre el aviso y la explotación
El primer fallo, CVE-2026-116606, tiene nota 9,3 sobre 10 en la escala CVSS 4.0 y afecta solo al Email Security Gateway, el equipo que filtra el correo entrante y saliente de una organización.
Es un salto de autorización previo al inicio de sesión: quien alcanza la interfaz de administración puede llamar la función de importar configuración y restaurar un archivo de respaldo preparado a su medida, con lo que reescribe la configuración global del equipo sin conocer contraseña alguna.
El segundo fallo, CVE-2026-111560, lleva nota 8,6 y es una inyección de comandos del sistema operativo por el campo de zona horaria. Un valor preparado en ese campo se ejecuta con privilegios root, el nivel máximo de control.
En el Email Security Gateway, los dos fallos se encadenan: el primero abre la puerta sin credenciales y el segundo entrega el equipo entero. En otros cinco productos de la marca, el segundo fallo existe pero exige una cuenta de administrador.
Esos cinco productos son el Load Balancer ADC, el Message Archiver, el Web Application Firewall, el WAF Control Center y el Web Security Gateway. El centro canadiense de ciberseguridad, en su aviso AV26-1112, marca como afectados los Email Security Gateway anteriores a la versión 9.4.0.030 y los Load Balancer ADC anteriores a la 6.4.0, entre otros rangos.
Barracuda corrigió su propio aviso el 5 de noviembre en un punto que importa mucho: el campo de autenticación del primer fallo pasó de pedir acceso administrativo a decir, con todas las letras, que no hace falta iniciar sesión. Basta con llegar a la interfaz de administración del equipo.
Ese mismo día, el laboratorio watchTowr publicó el despiece técnico de la cadena completa, con la ruta del respaldo restaurado y el campo de zona horaria como disparador.
Parchear antes del viernes y revisar lo ya pasado
Para el Email Security Gateway, Barracuda reparte dos parches: BNSF-40425 para equipos con firmware 9.4.017 o posterior y BNSF-40430 para los anteriores. Su documentación de campus afirma que el firmware 9.4.0.029 ya incluye las correcciones, mientras el registro del fallo marca como afectadas las versiones anteriores a la 9.4.0.030.
La diferencia es de una sola compilación, y la salida práctica es una sola: instalar la versión más reciente que ofrezca el equipo y comprobar el número instalado, no el prometido.
La empresa pide además aplicar a mano cualquier parche que no haya entrado solo y reactivar las actualizaciones automáticas donde alguien las apagó. Su otra recomendación apunta al punto débil de fondo: la interfaz de administración no debe quedar accesible desde internet. Barracuda lo escribe sin rodeos: las organizaciones con esa interfaz fuera del alcance público están menos expuestas.
El correo corporativo explica la prisa. Por un Email Security Gateway pasa todo el correo de la empresa: contratos, facturas, restablecimientos de contraseña, códigos de acceso. Un equipo así, tomado con privilegios root, deja leer, copiar o redirigir ese flujo completo desde una posición de confianza.
El antecedente pesa: en 2023, otro fallo del mismo producto, CVE-2023-2868, fue explotado por el grupo de espionaje UNC4841 que rastrea Mandiant, con cerca del 5 % de los equipos del mundo comprometidos y clientes a los que se les ordenó reemplazar el aparato.
Nada público conecta los ataques de esta semana con aquel grupo, y Barracuda no ha publicado indicadores de compromiso ni el nombre de las organizaciones tocadas. Tampoco ha dicho cómo detectó la actividad. Queda el trabajo en manos de cada administrador: revisar registros, buscar restauraciones de configuración inexplicables y tratar cualquier cambio de zona horaria reciente como una señal a investigar.
Para una pyme hispana que depende de un proveedor externo de sistemas, la tarea de hoy es corta: preguntar qué versión corre su puerta de correo, si el parche entró y si la consola de administración se ve desde internet. Tres respuestas que caben en un correo.
Si alguna sale mal, el arreglo no espera al lunes: el plazo federal vence el 13 de noviembre y los atacantes ya demostraron que conocen el camino.
Fuente: Barracuda
La conversación sigue en el foro
Comenta esta noticia, pregunta lo que quieras y comparte tu experiencia con otros lectores en el foro de Tecnología Geek. Participar es gratis: solo necesitas tu cuenta del sitio.
Entrar al foro
