Ing. Calogero Bono
Barracuda ha publicado parches para dos vulnerabilidades que, usadas juntas, permiten a un atacante remoto ejecutar comandos como root en el Email Security Gateway sin ningún login. El CSIRT Italia emitió una alerta, señalando la disponibilidad de una prueba de concepto (PoC). La empresa watchTowr publicó el análisis técnico de la cadena. Importa porque el equipo filtra el correo corporativo y, si está expuesto, se convierte en un punto de entrada muy delicado.
Algunos términos, antes de entrar en los hechos. CVE es el código que identifica una vulnerabilidad conocida. PoC (Proof of Concept) es una demostración que muestra cómo explotar un fallo. Authentication bypass significa saltarse el control de acceso. Command injection es la inserción de comandos del sistema en un campo que solo debería contener datos. CVSS es la puntuación de gravedad de 0 a 10.
¿Qué ha pasado con Barracuda?
Según la alerta de la ACN, hay disponible una PoC para dos fallos, CVE-2026-116606 y CVE-2026-111560, que afectan a varios productos Barracuda. Encadenados, permiten a un atacante remoto que llegue a la interfaz de administración eludir la autenticación y ejecutar código arbitrario.
Como informa The Hacker News, la empresa publicó los parches el lunes y watchTowr detalló la cadena el jueves.
¿Cómo funcionan los dos fallos?
La CVE-2026-116606 es un bypass de la autenticación y vale 9.3 sobre 10 (CVSS 4.0). Afecta solo al Email Security Gateway. Según la ACN, nace de un error en el cambio de contraseña administrativa. Cuando el cambio falla, el software muestra el error pero no detiene la solicitud.
La CVE-2026-111560 es una command injection de 8.6. El campo de zona horaria (system_timezone) no neutraliza los metacaracteres de la shell y los comandos se ejecutan con privilegios elevados. Normalmente hace falta una cuenta de administrador, pero en el ESG el bypass la concede.
¿Cómo se llega a root sin login?
Según el análisis de watchTowr, recogido por The Hacker News, el cambio de contraseña fallido devuelve al atacante un rol con pocos privilegios en lugar de bloquear la solicitud. Esto deja abierta una función de restauración de copias de seguridad.
La copia de seguridad cargada contiene un valor de zona horaria que el equipo luego ejecuta como comando de shell con permisos root. Barracuda protege las copias con un checksum, pero el secreto para calcularlo está escrito en el código, por lo que puede falsificarse. watchTowr demostró el ataque escribiendo un archivo como root.
¿Qué productos afecta y cómo se corrige?
La command injection afecta a seis productos.
- Email Security Gateway
- Load Balancer ADC
- Message Archiver
- WAF Control Center
- Web Application Firewall
- Web Security Gateway
En los cinco distintos del ESG todavía hace falta una cuenta de administrador. Barracuda tiene un parche para cada producto. El Email Security Gateway está corregido desde la versión 9.4.0.030 en adelante. Si no puedes actualizar de inmediato, limita la interfaz de administración a las redes internas de confianza y reactiva las actualizaciones automáticas si las habías desactivado.
Límites que conviene conocer
Ninguno de los dos fallos aparece en el catálogo KEV de la CISA y ningún informe público los vincula a un ataque. watchTowr difundió una herramienta de detección pero no un exploit. Queda por ver si aparecerán exploits públicos. Las dos fuentes describen el bypass de forma algo distinta, y la lista completa de versiones solo está en el boletín del fabricante.
Qué cambia para quien trabaja con lo digital
Si tu empresa usa un equipo Barracuda, revisa cuanto antes la versión del firmware y aplica el parche. Comprueba después si la interfaz de administración es accesible desde internet, porque es el requisito del ataque. Quien gestiona una infraestructura puede restringir el acceso como se hace con una subred privada y los security group. Si confías los servidores a terceros, pregunta quién se encarga de las actualizaciones, como en el hosting gestionado.
Nuestra opinión
El caso muestra un error clásico. Un control que señala el problema pero no interrumpe el flujo vale poco. A esto se suma una clave fija en el código para el checksum, que no detiene a nadie. Una defensa perimetral no debería abrir un acceso root remoto. Recuerda también la falla de APT con instalaciones como root. No hace falta alarmarse, pero el parche debe aplicarse ya.
Preguntas frecuentes
¿Hace falta un login para explotar la cadena en Barracuda ESG?
No. Según The Hacker News, los dos fallos encadenados llevan a root sin login. Sin embargo, el atacante debe llegar a la interfaz de administración del equipo.
¿Qué versiones del Email Security Gateway están corregidas?
La versión 9.4.0.030 y posteriores. El detalle para cada producto está en el boletín de seguridad de Barracuda.
¿Ya se están explotando los fallos en ataques?
No consta. Las fuentes indican que no están en el catálogo KEV de la CISA y que ningún informe público los vincula a un ataque. Sin embargo, hay una PoC disponible.
¿Qué hago si no puedo actualizar de inmediato?
Limita la interfaz de administración a las redes internas de confianza. Además, reactiva las actualizaciones automáticas si las habías desactivado.
¿Quién asignó las dos CVE?
Mandiant, según The Hacker News. Mandiant, que asignó las dos CVE, valoró el bypass con 9.3 sobre 10 y la command injection con 8.6.
Qué revisar en las próximas semanas en los equipos Barracuda
El parche existe, pero la PoC ya está disponible y la ventana entre el anuncio y los ataques se acorta. Conviene seguir la evolución.
- Comprueba si las dos CVE entran en el catálogo KEV de la CISA o si aparecen exploits públicos.
- Usa la herramienta de detección de watchTowr para revisar tus equipos.
- Relee el boletín de Barracuda para los productos distintos del ESG y confirma las versiones correctas.
