Barracuda alerta de fallos que podrían dar acceso root a los atacantes

Barracuda Networks instó a sus clientes a corregir dos vulnerabilidades que podrían permitir a los atacantes ejecutar comandos con privilegios root en los dispositivos afectados.

La primera, CVE-2026-116606, es un fallo crítico relacionado con una debilidad de autenticación en Email Security Gateway (ESG), el producto de la empresa. Los atacantes podrían aprovecharlo para modificar la configuración global de un dispositivo. La segunda, CVE-2026-111560, podría permitir que atacantes que ya tienen permisos de administrador inyecten comandos del sistema operativo que se ejecutan como root.

Barracuda afirmó que para explotar con éxito los fallos es necesario acceder a las interfaces de administración de los dispositivos objetivo. La empresa dijo que la explotación conjunta podría permitir eludir los controles de autorización y obtener acceso root. Barracuda indicó que había iniciado un proceso de corrección y publicado parches para los productos afectados. Recomendó a sus clientes consultar la guía sobre productos afectados y medidas correctivas, instalar el firmware más reciente, aplicar todos los parches de seguridad y limitar el acceso administrativo a redes internas de confianza.

Los dispositivos ESG de Barracuda ya han sido objeto de ataques que aprovecharon vulnerabilidades. En 2023, la empresa corrigió CVE-2023-7102, que el grupo de hackers UNC4841 explotó en ataques de día cero para ejecutar código arbitrario en dispositivos sin parchear. Ese año, UNC4841 también explotó CVE-2023-2868. Barracuda afirmó después que esa vulnerabilidad se había explotado durante al menos siete meses, desde al menos octubre de 2022, para instalar el malware SeaSpy y Saltwater y robar datos. Mandiant indicó que casi un tercio de los dispositivos pirateados en la campaña de 2023 pertenecían a organismos gubernamentales de todo el mundo.