Ing. Calogero Bono
A Barracuda lançou correções para duas vulnerabilidades que, usadas juntas, permitem a um atacante remoto executar comandos como root no Email Security Gateway sem nenhum login. O CSIRT Italia emitiu um alerta, informando a disponibilidade de uma prova de conceito (PoC). A empresa watchTowr publicou a análise técnica da cadeia. Isso importa porque o equipamento filtra o e-mail corporativo e, se exposto, vira um ponto de entrada muito sensível.
Alguns termos, antes de entrarmos nos fatos. CVE é o código que identifica uma vulnerabilidade conhecida. PoC (Proof of Concept) é uma demonstração que mostra como explorar uma falha. Authentication bypass significa contornar o controle de acesso. Command injection é a inserção de comandos do sistema em um campo que deveria conter apenas dados. CVSS é a pontuação de gravidade de 0 a 10.
O que aconteceu com a Barracuda?
Segundo o alerta da ACN, há uma PoC disponível para duas falhas, CVE-2026-116606 e CVE-2026-111560, que afetam vários produtos Barracuda. Combinadas, permitem que um atacante remoto que alcance a interface administrativa contorne a autenticação e execute código arbitrário.
Como informa o The Hacker News, a empresa lançou as correções na segunda-feira e a watchTowr detalhou a cadeia na quinta-feira.
Como funcionam as duas falhas?
A CVE-2026-116606 é um bypass de autenticação com nota 9,3 de 10 (CVSS 4.0). Afeta apenas o Email Security Gateway. Segundo a ACN, ela nasce de um erro na troca de senha administrativa. Quando a troca falha, o software registra o erro mas não interrompe a requisição.
A CVE-2026-111560 é uma command injection com nota 8,6. O campo de fuso horário (system_timezone) não neutraliza os metacaracteres do shell e os comandos são executados com privilégios elevados. Normalmente seria preciso uma conta de administrador, mas no ESG o bypass a concede.
Como se chega a root sem login?
Segundo a análise da watchTowr, relatada pelo The Hacker News, a troca de senha que falha devolve ao atacante um papel com poucos privilégios, em vez de bloquear a requisição. Isso deixa aberta uma função de restauração de backups.
O backup enviado contém um valor de fuso horário que o equipamento depois executa como comando de shell com permissões root. A Barracuda protege os backups com um checksum, mas o segredo para calculá-lo está escrito no código, então pode ser forjado. A watchTowr demonstrou o ataque gravando um arquivo como root.
Quais produtos são afetados e como corrigir?
A command injection atinge seis produtos.
- Email Security Gateway
- Load Balancer ADC
- Message Archiver
- WAF Control Center
- Web Application Firewall
- Web Security Gateway
Nos cinco diferentes do ESG ainda é preciso uma conta de administrador. A Barracuda tem uma correção para cada produto. O Email Security Gateway está corrigido a partir da versão 9.4.0.030. Se você não puder atualizar agora, limite a interface administrativa às redes internas de confiança e reative as atualizações automáticas caso as tenha desligado.
Limites a conhecer
Nenhuma das duas falhas aparece no catálogo KEV da CISA e nenhum relatório público as associa a um ataque. A watchTowr divulgou uma ferramenta de detecção, mas não um exploit. Resta saber se surgirão exploits públicos. As duas fontes descrevem o bypass de forma um pouco diferente, e a lista completa de versões está apenas no boletim do fabricante.
O que muda para quem trabalha com o digital
Se sua empresa usa um equipamento Barracuda, verifique imediatamente a versão do firmware e aplique a correção. Depois, confira se a interface administrativa está acessível pela internet, pois esse é o requisito do ataque. Quem gerencia a infraestrutura pode restringir o acesso como se faz com uma sub-rede privada e security groups. Se você confia seus servidores a terceiros, pergunte quem cuida das atualizações, como no hosting gerenciado.
Nossa opinião
O caso mostra um erro clássico. Um controle que aponta o problema mas não interrompe o fluxo tem pouco valor. Soma-se a isso um segredo fixo no código para o checksum, que não impede ninguém. Uma defesa de perímetro não deveria abrir acesso root remoto. Vale lembrar também a falha do APT com instalações como root. Não é caso de alarme, mas a correção deve ser aplicada agora.
Perguntas frequentes
É preciso login para explorar a cadeia no Barracuda ESG?
Não. Segundo o The Hacker News, as duas falhas combinadas levam a root sem login. O atacante precisa, porém, alcançar a interface administrativa do equipamento.
Quais versões do Email Security Gateway estão corrigidas?
A versão 9.4.0.030 e as posteriores. O detalhe para cada produto está no boletim de segurança da Barracuda.
As falhas já são usadas em ataques?
Não há registro disso. As fontes dizem que elas não estão no catálogo KEV da CISA e que nenhum relatório público as liga a um ataque. Uma PoC, no entanto, está disponível.
O que faço se não puder atualizar agora?
Limite a interface de administração às redes internas de confiança. Reative também as atualizações automáticas, caso as tenha desativado.
Quem atribuiu as duas CVE?
A Mandiant, segundo o The Hacker News. A Mandiant, que atribuiu as duas CVE, avaliou o bypass com 9,3 de 10 e a command injection com 8,6.
O que acompanhar nas próximas semanas sobre os equipamentos Barracuda
A correção já existe, mas a PoC está disponível e a janela entre o anúncio e os ataques está encurtando. Vale acompanhar a evolução.
- Verifique se as duas CVE entram no catálogo KEV da CISA ou se surgem exploits públicos.
- Use a ferramenta de detecção da watchTowr para checar seus equipamentos.
- Releia o boletim da Barracuda para os produtos diferentes do ESG e confirme as versões corretas.
