Ya atacan fallos de Barracuda que dan acceso root

Los atacantes ya están aprovechando dos vulnerabilidades recién corregidas en equipos de Barracuda. Combinadas, permiten saltarse los controles de autorización y obtener acceso root en el dispositivo, según SecurityWeek.

Qué productos y qué fallos

• CVE-2026-116606 (CVSS 9,3). Es una omisión de autenticación en Barracuda Email Security Gateway (ESG). Quien tenga acceso a la interfaz de administración puede restaurar una copia de seguridad manipulada y cambiar la configuración del equipo.
• CVE-2026-111560 (CVSS 8,6). Es una inyección de comandos que afecta a ESG, Load Balancer ADC, Web Application Firewall (WAF), Web Security Gateway (WSG), Message Archiver (BMA) y WAF Control Center (WCC). Con acceso de administrador, un atacante puede ejecutar comandos del sistema con privilegios de root.

«Si se explotan de forma combinada, estas vulnerabilidades podrían permitir a un atacante eludir los controles de autorización y obtener acceso root al dispositivo», advirtió Barracuda el 2 de noviembre. Una semana después actualizó el aviso: los fallos ya se estaban explotando contra «un pequeño número de organizaciones».

Explotación confirmada

El martes, la agencia estadounidense de ciberseguridad CISA incluyó ambos fallos en su catálogo de vulnerabilidades explotadas (KEV). Las agencias federales tienen tres días para corregirlos.

Ni Barracuda ni CISA han detallado cómo son los ataques. La empresa de seguridad Previdian ha registrado 17 intentos contra CVE-2026-116606 entre el 9 y el 11 de noviembre, procedentes de 15 direcciones IP de tres países.

Qué hacer

La recomendación es actualizar los productos de Barracuda cuanto antes. Además, la interfaz de administración no debe estar expuesta a internet: el acceso tiene que limitarse a redes internas de confianza.

SecurityWeek no especifica qué versiones corrigen los fallos. Habrá que consultarlo en el aviso de Barracuda para cada producto.

Hay otro motivo para no quedarse solo en la actualización. Los ataques empezaron antes de que mucha gente hubiera parcheado y dan control total del equipo. Un parche cierra la puerta, pero no expulsa a quien ya haya entrado. Si el panel ha estado accesible desde fuera, conviene revisar la configuración y los registros del equipo en busca de cambios que nadie haya autorizado.

Queda por saber quién está detrás, a qué organizaciones ha atacado y qué indicios de compromiso hay que buscar.

Fuente: SecurityWeek