Por Canuto  

Barracuda corrigió dos vulnerabilidades que, bajo una condición específica, podían combinarse para otorgar privilegios de root en varios productos. La compañía recomienda verificar la instalación de los parches y limitar el acceso a las interfaces de administración.

***

  • Una falla crítica en Email Security Gateway permite eludir controles de autorización; otra, de severidad alta, posibilita ejecutar comandos.
  • La combinación podía elevar los privilegios hasta root, pero para explotar los fallos se requiere acceso a la interfaz de administración.
  • Barracuda publicó parches para seis productos y aconseja comprobar que se hayan instalado, especialmente si las actualizaciones automáticas están desactivadas.

 

 

Dos vulnerabilidades afectan a seis productos de Barracuda y, si se explotan en conjunto, podrían permitir que un atacante obtenga privilegios de root. La compañía ya publicó parches y recomienda verificar que se instalaron, además de restringir el acceso a las interfaces de administración.

La alerta concierne a Email Security Gateway (ESG), Load Balancer Application Delivery Controller (ADC), Message Archiver (BMA), WAF Control Center (WCC), Web Application Firewall (WAF) y Web Security Gateway (WSG). Según la información reportada por heise online, ambas fallas requieren que el atacante tenga acceso a la interfaz de administración, una condición que reduce el alcance del riesgo, pero no elimina la necesidad de actuar.

Dos vulnerabilidades con funciones distintas

Barracuda identificó los problemas como CVE-2026-116606, con una puntuación CVSS de 9,3 y clasificación crítica, y CVE-2026-111560, con CVSS de 8,6 y nivel alto. La primera permite eludir las comprobaciones de autorización, mientras que la segunda puede utilizarse para ejecutar comandos, según el aviso de seguridad de la empresa.

Las dos vulnerabilidades no afectan exactamente al mismo conjunto de productos: CVE-2026-116606 está limitada a ESG, mientras que CVE-2026-111560 alcanza los seis equipos mencionados. Esta diferencia importa para priorizar la revisión, aunque el alcance más amplio de la segunda falla implica que los administradores de ADC, BMA, WAF, WCC y WSG también deben comprobar su estado.

El mayor riesgo surge cuando un atacante combina los dos fallos en un dispositivo afectado: primero puede sortear los controles de autorización y después ejecutar comandos. Barracuda advierte que esa cadena puede llevar a privilegios de root, un nivel que normalmente concede control total sobre el dispositivo comprometido.

La posibilidad de alcanzar root convierte el caso en algo más serio que un error aislado de acceso o una interrupción puntual. Aun así, la información disponible no afirma que la explotación ocurra de forma automática ni que cualquier persona pueda aprovechar las fallas sin cumplir la condición de acceso a la interfaz administrativa.

El acceso a la administración es la condición clave

Para explotar cualquiera de las vulnerabilidades, un atacante necesita acceso a la interfaz de administración del producto. Por eso, Barracuda pide a los administradores que comprueben si esa interfaz está expuesta públicamente y, si lo está, que restrinjan su acceso a redes internas de confianza.

La recomendación aborda una superficie de ataque concreta: la consola administrativa debe estar disponible para quienes gestionan el equipo, pero no necesariamente para cualquier conexión desde Internet. Reducir quién puede llegar a esa interfaz no reemplaza la instalación del parche; funciona como una medida de contención adicional mientras se verifica y corrige el software vulnerable.

La alerta no detalla cuántos dispositivos están expuestos ni informa de incidentes confirmados, por lo que no corresponde asumir que los productos afectados ya fueron comprometidos. Barracuda tampoco indica si alguien ha explotado las vulnerabilidades, aunque advierte que la situación podría cambiar rápidamente y recomienda no aplazar las actualizaciones.

En ese contexto, la revisión debe incluir tanto el estado del parche como la exposición de la interfaz de administración. Una consola accesible solo desde redes internas de confianza reduce la posibilidad de que un tercero alcance la condición necesaria para el ataque, pero los equipos afectados siguen necesitando las correcciones publicadas por el fabricante.

Qué parches deben revisar los administradores

Para ESG, Barracuda señala BNSF-40425 para las versiones 9.4.017 y posteriores, y BNSF-40430 para las anteriores a 9.4.017. En ADC y WAF corresponde BNADC-16586; BMA debe recibir BNMA-32468, WCC BNWF-60060 y WSG BNYF-24789.

El fabricante indica que los parches normalmente se instalan de manera automática, pero pide a los administradores confirmar que el proceso se completó. Si la corrección no aparece instalada, recomienda aplicarla manualmente; quienes hayan desactivado la actualización automática deberían volver a habilitarla.

Los equipos con firmware muy desactualizado pueden necesitar varias actualizaciones antes de llegar a una versión corregida. Por ello, no basta con comprobar si existe un parche anunciado: los administradores deben verificar qué versión ejecuta cada producto y seguir la secuencia de actualización que corresponda a su estado.

La información de Barracuda no confirma explotación activa, pero sí describe una ruta posible hacia privilegios de root y aconseja responder sin demora. La prioridad práctica es identificar los productos afectados, comprobar las correcciones específicas, limitar el acceso administrativo a redes confiables y revisar que las actualizaciones hayan quedado aplicadas.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.

 


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados