Los fallos de Barracuda permiten, encadenados, un acceso root al equipo afectado. Root es la cuenta con el nivel máximo de control: quien la obtiene manda sobre la configuración y los comandos del aparato. El aviso de la empresa salió el 2 de noviembre y cubre dos vulnerabilidades con nombre propio, CVE-2026-116606 y CVE-2026-111560, que por separado ya exigen parche y juntas abren la puerta completa.
La primera pieza es CVE-2026-116606, con nota CVSS de 9,3 sobre 10. CVSS es la escala que mide la gravedad de un fallo de seguridad. Barracuda la describe como una evasión de autorización previa a la autenticación y la limita a un solo producto: Email Security Gateway, la puerta que filtra el correo de entrada y salida de una empresa. BleepingComputer detalló el mecanismo: un atacante puede llamar la función de importar configuración y restaurar un archivo de respaldo preparado por él, con lo que modifica la configuración global del equipo sin tener credenciales válidas.
CVE-2026-111560 completa la cadena, con CVSS de 8,6, es una inyección de comandos: el sistema acepta datos de entrada que terminan ejecutándose como órdenes del sistema operativo, y esas órdenes corren con privilegios de root. Barracuda informó que este fallo alcanza a seis productos, entre ellos el propio Email Security Gateway, Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall y Web Security Gateway. La inyección de comandos es un error viejo y conocido en seguridad: el programa confía en un dato que debía tratar como texto y lo ejecuta como instrucción.
Solo el equipo de correo reúne los dos fallos a la vez
Ese reparto importa al priorizar. Los seis productos comparten la inyección de comandos, pero la evasión de autorización previa vive solo en Email Security Gateway. Ese equipo es, justo, el que puede encadenar las dos piezas: primero entra sin credenciales por la importación de configuración y después ejecuta comandos con el nivel máximo. Los otros cinco necesitan que el atacante ya tenga acceso con permisos de administración para aprovechar su fallo, una condición distinta y más exigente.
Barracuda puso una condición clara en su aviso: la explotación exige acceso a la interfaz de administración del producto afectado. Una empresa que no expone esa interfaz a internet queda menos expuesta a esta ruta de ataque, y la recomendación directa de la empresa es limitarla a redes internas de confianza, con controles de acceso de red que corten cualquier llegada desde fuera. No es un matiz menor. Buena parte del riesgo se decide en ese ajuste, antes incluso de hablar del parche.
Los equipos de borde que filtran correo o tráfico web han dado casos parecidos en los últimos meses, como el acceso root sin contraseña en Ivanti Connect Secure, contado en octubre. El patrón se repite: aparatos que quedan años en un rincón de la red, con su panel de administración alcanzable y actualizaciones que nadie revisa. Un Email Security Gateway comprometido con nivel root deja al atacante dentro del equipo por donde pasa el correo completo de la organización, con sus mensajes, sus adjuntos y sus reglas de filtrado.
El parche ya existe para cada producto y el atraso obliga a actualizar dos veces
Barracuda publicó parches concretos contra los fallos de Barracuda, uno para cada producto, y BleepingComputer recogió la tabla del aviso. Para Email Security Gateway hay dos referencias: BNSF-40425 en equipos con la versión 9.4.017 o posterior, y BNSF-40430 en los anteriores a esa versión. Load Balancer ADC recibe BNADC-16586, Message Archiver recibe BNMA-32468, WAF Control Center recibe BNWF-60060 y Web Security Gateway recibe BNYF-24789. Cada administrador debe aplicar la referencia de su producto, no una genérica.
La empresa pidió verificar que cada sistema corre su firmware más reciente con todos los parches de seguridad aplicados. Firmware es el programa interno que hace funcionar el aparato. Y dejó una advertencia práctica para los equipos más atrasados: si un dispositivo arrastra varias versiones de retraso, puede necesitar más de una actualización seguida hasta llegar a la protegida. Si el parche no se aplicó solo, toca aplicarlo a mano cuanto antes, y quien desactivó las actualizaciones automáticas tiene la recomendación expresa de volver a activarlas.
El nombre Barracuda carga un antecedente que explica la prisa. BleepingComputer recordó que en 2023 el grupo UNC4841 explotó dos fallos de día cero en el mismo Email Security Gateway, CVE-2023-2868 y CVE-2023-7102, para ejecutar código en equipos sin parchear. La intrusión de CVE-2023-2868 venía activa desde al menos octubre de 2022, unos siete meses antes de hacerse pública, con programas maliciosos bautizados SeaSpy y Saltwater robando datos; datos de Mandiant citados en esa cobertura situaron cerca de un tercio de los aparatos comprometidos en agencias de gobierno de varios países.
En el aviso del 2 de noviembre no consta explotación activa de estos dos fallos nuevos, y esa ausencia también es un dato: la ventana entre la publicación del parche y su aplicación es el tramo que los atacantes suelen aprovechar en este tipo de equipos. Barracuda atiende a más de 200.000 clientes en el mundo, entre empresas pequeñas, grandes organizaciones y proveedores de servicios gestionados que administran equipos de terceros. Para un proveedor de esos, un solo Email Security Gateway sin BNSF-40425 o sin BNSF-40430 deja la cadena completa servida: importación de configuración sin credenciales y acceso root completo en el mismo aparato.
Fuente: Barracuda
