Por Canuto  

Dos vulnerabilidades en productos de Barracuda ya están bajo explotación, según la empresa. La combinación podría permitir evadir controles y conseguir acceso root en dispositivos afectados.
***

  • Barracuda identificó actividad de explotación contra un pequeño número de organizaciones, aunque no informó cuántas.
  • La falla CVE-2026-116606 afecta la autorización de ESG y requiere acceso a su interfaz administrativa; CVE-2026-111560 permite inyección de comandos en varios productos.
  • La compañía publicó parches y recomienda actualizar; un experto aconseja cerrar el acceso público a la administración del ESG.

Barracuda confirma ataques que podrían dar acceso root a sus pasarelas de correo

Dos vulnerabilidades bajo explotación

Barracuda informó que detectó actividad de explotación contra vulnerabilidades en sus productos de seguridad, incluido Email Security Gateway (ESG), una pasarela que protege sistemas de correo electrónico. La empresa señaló que los ataques afectan a un pequeño número de organizaciones, pero no precisó cuántas ni reveló quién estaría detrás de la actividad.

La alerta combina dos fallas divulgadas y corregidas por el proveedor. Según Barracuda, si un atacante explota ambas vulnerabilidades de forma conjunta, podría eludir controles de autorización y obtener acceso root al dispositivo, un nivel de privilegio que permitiría tomar control amplio del sistema comprometido.

La compañía presentó esa posibilidad en un aviso de seguridad del 2 de noviembre, cuando todavía no reportaba explotación activa de ninguna de las dos fallas. El lunes por la noche actualizó la advertencia para comunicar que sí había identificado ataques, aunque describió el alcance como limitado a un pequeño número de organizaciones.

En declaraciones recogidas por The Register, un portavoz de Barracuda afirmó que la empresa trabajó directamente con las organizaciones afectadas para resolver el problema y que publicó parches para los productos vulnerables. La compañía no respondió a las preguntas del medio, incluida una consulta sobre el número de entidades atacadas, por lo que ese dato sigue sin conocerse.

Qué permiten las fallas y qué productos están implicados

La vulnerabilidad CVE-2026-116606 corresponde a una omisión de autorización previa a la autenticación en ESG y tiene una puntuación CVSS de 9,3. Aunque no exige que el atacante inicie sesión para explotar el fallo, sí requiere que pueda acceder a la interfaz de usuario administrativa, una condición que vuelve especialmente relevante la exposición de ese panel.

Tausif Ahmed, fundador de Purplecop Security, recomendó cerrar cuanto antes la interfaz administrativa si permanece abierta a internet. La sugerencia apunta a reducir la posibilidad de que un actor externo alcance el punto de administración necesario para intentar explotar CVE-2026-116606, sin que ello sustituya la instalación de las actualizaciones publicadas por Barracuda.

La segunda falla, CVE-2026-111560, es una vulnerabilidad de inyección de comandos con una puntuación CVSS de 8,6. El registro del NVD describe el problema como una neutralización incorrecta de metacaracteres de shell en el campo de configuración de zona horaria de ciertos dispositivos Barracuda. La empresa indicó que la vulnerabilidad afecta a varios productos: ESG, el balanceador de carga ADC, el archivador de mensajes BMA, el firewall de aplicaciones web WAF, el centro de control WAF WCC y la pasarela de seguridad web WSG.

La empresa advirtió que la explotación combinada podría permitir a un atacante superar controles de autorización y alcanzar privilegios root en el dispositivo. La información disponible no confirma que los intrusos hayan conseguido ese nivel de acceso en los incidentes detectados, ni permite establecer si la combinación de las dos fallas se utilizó en cada ataque.

Riesgos para las organizaciones y respuesta inmediata

La incertidumbre sobre el acceso obtenido no elimina el riesgo potencial: si un intruso llega a controlar un dispositivo, podría robar datos, instalar puertas traseras o tomar control del sistema afectado. Estas son consecuencias posibles de un compromiso con privilegios elevados, no resultados que Barracuda haya confirmado en los casos que identificó.

Los equipos de seguridad deben distinguir entre el alcance confirmado y los escenarios de riesgo descritos por el proveedor. Barracuda habló de explotación contra un pequeño número de organizaciones, pero no identificó a los atacantes, no informó si hubo acceso root y tampoco detalló públicamente qué acciones realizaron en los dispositivos comprometidos.

La recomendación práctica es instalar los parches correspondientes y revisar que las interfaces administrativas no queden expuestas a internet, especialmente en ESG. La medida sobre el panel administrativo responde al requisito de acceso señalado para CVE-2026-116606; actualizar, a su vez, atiende las vulnerabilidades que Barracuda divulgó y corrigió.

Los dispositivos de seguridad ubicados en el perímetro de una red pueden resultar atractivos para atacantes porque conectan sistemas internos con servicios accesibles desde el exterior. En este caso, la posibilidad de combinar una omisión de autorización con una inyección de comandos hace que la instalación de parches y la revisión del acceso administrativo sean medidas urgentes para las organizaciones que utilizan los productos afectados.

Antecedentes de ataques contra dispositivos perimetrales

La advertencia llega en un contexto en el que los dispositivos perimetrales han sido utilizados en operaciones de espionaje. El informe de origen recuerda que grupos vinculados al Gobierno chino han aprovechado este tipo de fallas, pero esa referencia histórica no identifica a los responsables de los ataques actuales contra los productos de Barracuda.

En 2023, el FBI atribuyó a atacantes vinculados con la República Popular China una serie de ataques dirigidos contra ESG de Barracuda. Según el relato citado en el informe, los intrusos desplegaron malware personalizado y buscaron mantener acceso a redes de alto valor, un antecedente que subraya los posibles objetivos de comprometer equipos de este tipo.

Mandiant indicó que el 27% de las organizaciones afectadas que había identificado en aquel episodio eran entidades gubernamentales. Esa cifra corresponde a las organizaciones identificadas en el caso de 2023, no al pequeño grupo de entidades que Barracuda relaciona con la explotación recientemente detectada.

Por ahora, los datos públicos no permiten vincular los incidentes actuales con aquella campaña ni atribuirlos a un actor específico. La prioridad inmediata para quienes administran ESG, ADC, BMA, WAF, WCC o WSG es aplicar las correcciones de Barracuda y limitar el acceso a las interfaces administrativas, mientras la empresa mantiene su investigación sobre los ataques detectados.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados