Una explicación de dos vulnerabilidades en Barracuda Email Security Gateway (ESG, un dispositivo que filtra el correo entrante en busca de spam y malware) y en otros productos de Barracuda, en las que un atacante que llegue a la interfaz de administración puede tomar el control del dispositivo. Cubre el ámbito y las correcciones desde el lado de la defensa y no incluye cómo atacar.
- CVE
- CVE-2026-116606 (elusión de autenticación) y CVE-2026-111560 (inyección de comandos del sistema operativo)
- Gravedad
- 116606: CVSS v4.0 9.3 (Critical en el registro CVE; el aviso de Barracuda dice High) / 111560: CVSS v4.0 8.6 (High)
- Tipo
- 116606: elusión de autenticación (CWE-288); una función de importación de configuración puede invocarse sin autenticación para cambiar la configuración global / 111560: inyección de comandos del sistema operativo (CWE-78) en el campo de configuración de la zona horaria; los comandos se ejecutan como root
- Condiciones previas
- 116606: no necesita autenticación, pero la interfaz de administración debe ser accesible (aviso corregido el 5 de noviembre) / 111560: requiere autenticación de administrador. Ambas pueden encadenarse
- Afectado
- 116606: ESG / 111560: ESG, Load Balancer ADC, Message Archiver (BMA), WAF Control Center (WCC), Web Application Firewall (WAF), Web Security Gateway (WSG)
- Corrección
- Dada como ID de parche (ESG: BNSF-40425 / BNSF-40430). Si no se aplica automáticamente, aplíquela manualmente
- Publicado
- Aviso de Barracuda y CVE: 2 de noviembre de 2026
- Explotación
- Barracuda informa de una explotación que ha afectado a un pequeño número de organizaciones. Añadidas a CISA KEV el 10 de noviembre de 2026 (plazo: 13 de noviembre). Triaje forense necesario
El riesgo de dejarlo
En muchos despliegues un ESG se coloca por donde pasa el correo entrante, y suele contener el enrutamiento del correo, los ajustes de reenvío y las credenciales de los sistemas conectados. Cambiar su configuración global, o conseguir root, llega al contenido y al flujo de su correo. Barracuda dice que ha visto explotación, y CISA valora la explotación como activa.
Qué tipo de vulnerabilidades son
Barracuda cubre ambas en un único aviso. Dice que la explotación requiere acceso a la interfaz de administración de un producto afectado y que, combinados, los fallos podrían permitir a un atacante eludir los controles de autorización y obtener root en el dispositivo.
CVE-2026-116606 (solo ESG)
- Tipo: elusión de autenticación (CWE-288)
- Un atacante no autenticado puede invocar una función de importación de configuración y cambiar la configuración global
- No necesita autenticación, pero la interfaz de administración debe ser accesible
- CVSS v4.0 9.3
CVE-2026-111560 (seis productos)
- Tipo: inyección de comandos del sistema operativo (CWE-78)
- La comprobación insuficiente del campo de zona horaria permite a un administrador ejecutar comandos como root
- Requiere autenticación de administrador
- CVSS v4.0 8.6
Hay una corrección importante. El 5 de noviembre Barracuda cambió el campo «Authentication Required» de CVE-2026-116606 de Yes, administrative access a No (Administrative UI Access Required) (traducción nuestra, no una cita literal). No hacen falta credenciales, así que en un dispositivo cuya interfaz de administración es visible desde fuera, la condición previa ya se cumple. Según la lectura de este sitio, CVE-2026-111560 necesita un administrador autenticado, pero combinado con esta elusión también se conecta con una vía no autenticada (la descripción de KEV también menciona la cadena).
Barracuda no describe los pasos del ataque ni el formato de la petición, y este sitio tampoco.
Ámbito
| Producto | CVE-2026-116606 | CVE-2026-111560 | Parche (aviso de Barracuda) |
|---|---|---|---|
| Email Security Gateway (ESG) | Afectado | Afectado | BNSF-40425 (9.4.017 y posteriores), BNSF-40430 (anteriores a 9.4.017) |
| Load Balancer ADC | No afectado | Afectado | BNADC-16586 |
| Message Archiver (BMA) | No afectado | Afectado | BNMA-32468 |
| WAF Control Center (WCC) | No afectado | Afectado | BNWF-60060 |
| Web Application Firewall (WAF) | No afectado | Afectado | BNADC-16586 |
| Web Security Gateway (WSG) | No afectado | Afectado | BNYF-24789 |
- El aviso da las correcciones como ID de parche y no enumera los intervalos de versiones afectadas. Los intervalos de versiones afectadas figuran en los registros CVE y en los informes de la empresa de investigación. CVE-2026-116606: ESG anterior a 9.4.0.030. CVE-2026-111560: ESG 9.4.0.27 o anterior, ADC 6.4.0 o anterior, WAF 11.0.1 o anterior, WSG 16.1.100.100 o anterior, BMA 5.5.4.0 o anterior, WCC 2.2.1 o anterior.
- Los formatos de versión difieren entre las fuentes (por ejemplo 9.4.0.030 y 9.4.0.27), así que decida con la última versión de firmware que muestra el dispositivo y el estado de sus parches.
- Barracuda dice que un dispositivo con varias versiones de retraso puede necesitar más de una actualización, y que Barracuda Support puede ayudar.
- La única mitigación que da el aviso es limitar la interfaz de administración a redes internas de confianza. Ningún ajuste sustituye a la actualización.
Cómo saber si está afectado
Encuentre todos los dispositivos Barracuda
No solo ESG: Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall y Web Security Gateway también están afectados. Cuente por separado las instancias físicas, virtuales y en la nube (lista de comprobación del inventario de activos).
Compruebe si la interfaz de administración es accesible desde fuera
Compruebe si la interfaz de administración (Admin UI) es visible desde internet o desde redes internas no fiables. Barracuda dice que las organizaciones cuyas interfaces de administración no son accesibles públicamente están menos expuestas a esta vía de ataque.
Compruebe la versión de firmware y el estado de los parches
El dispositivo muestra la última versión de firmware disponible. Compruebe si el parche se aplicó automáticamente y que los parches automáticos no se han desactivado.
Qué hacer hoy
El plazo de KEV es el 13 de noviembre. Trabaje en este orden.
Restrinja la interfaz de administración (primero)
Como aconseja Barracuda, limite la interfaz de administración a redes internas de confianza y restrinja con controles de acceso los orígenes que pueden llegar a ella. Puede hacerlo sin esperar a la actualización.
Conserve la configuración y los registros antes de actualizar
El procedimiento de CISA dice que se recojan pruebas antes de parchear, porque parchear puede destruir artefactos. Antes de actualizar, guarde en otro lugar una copia de la configuración del dispositivo y de los registros de administración, autenticación y procesamiento de correo, y anote cuándo y quién los recogió (guía de respuesta a vulnerabilidades).
Aplique el parche y confirme que está aplicado
Aplique el parche de la tabla anterior. Si no se aplicó automáticamente, aplíquelo manualmente; si había desactivado los parches automáticos, configure de nuevo el dispositivo para recibirlos automáticamente. Las instrucciones manuales están en Barracuda Campus. Después confirme la versión de firmware y el estado de los parches que muestra el dispositivo.
Compruebe si hay señales de compromiso (forense)
El aviso de Barracuda no dice cómo comprobarlo. Los puntos siguientes son un añadido propio de este sitio.
- Cuentas de administrador añadidas o modificadas, e inicios de sesión en la interfaz de administración a horas u orígenes inesperados.
- Registros de cambios de configuración y de restauraciones (importaciones) de la configuración, y cualquier valor de ajuste inesperado.
- Cambios desconocidos en el enrutamiento del correo, el reenvío o los ajustes de filtros.
- Conexiones salientes inusuales del dispositivo, o acciones administrativas inesperadas.
Si algo parece sospechoso, aísle el dispositivo y rote las credenciales
Si encuentra actividad sospechosa, aísle el dispositivo, llame a investigadores y contacte con Barracuda Support. Trate las contraseñas de administrador guardadas en el dispositivo, las credenciales de los sistemas conectados (directorio, servidores de correo, API) y los certificados como necesitados de sustitución (añadido de este sitio). Aunque no encuentre nada, anote qué comprobó y durante qué periodo.
Estado de la explotación
- El aviso de Barracuda dice que ha identificado una explotación que ha afectado a un pequeño número de organizaciones (añadido el 9 de noviembre).
- CISA añadió ambas a KEV el 10 de noviembre de 2026 con un plazo del 13 de noviembre (versión de KEV 2026.11.10), tres días después.
- En KEV, el triaje forense es Yes para ambos CVE. El uso en ransomware es Desconocido.
- Los registros CVE incluyen la valoración de CISA: CVE-2026-116606 se explota activamente, es automatizable y tiene impacto técnico total; CVE-2026-111560 se explota activamente, no es automatizable y tiene impacto técnico total.
- NVD muestra ambos como Undergoing Analysis, con los valores CVSS asignados por la empresa de investigación.
- No pudimos confirmar la escala, los métodos ni los actores a partir de la información pública.
- Barracuda ESG ya ha estado en KEV: CVE-2023-2868 se añadió el 26 de mayo de 2023. Es una vulnerabilidad distinta.
La visión de este sitio: mire si la interfaz de administración es accesible, no si hace falta autenticación
Si solo se mira CVE-2026-111560, es tentador bajar la prioridad porque necesita autenticación de administrador. Pero CVE-2026-116606 puede cambiar la configuración del dispositivo sin autenticación, así que, juntas, la condición pasa a ser simplemente «la interfaz de administración es accesible».
Lo que deben mirar los defensores es desde dónde se puede llegar a la interfaz de administración, más que si cada fallo necesita autenticación. Limitar la interfaz de administración a las redes internas ayuda frente a estos dos fallos y frente al siguiente de este tipo. Junto con la actualización, haga permanente esa restricción (defender los dispositivos expuestos).
Fuentes
- Barracuda — Pre-Authentication Authorization Bypass and Command Injection Vulnerabilities in Certain Barracuda Products (publicado el 2 de noviembre, actualizado el 5 y el 9 de noviembre; productos afectados, parches, guía, explotación confirmada)
- Informes de la empresa de investigación — aviso de CVE-2026-116606 / aviso de CVE-2026-111560 (intervalos de versiones afectadas)
- CVE.org — CVE-2026-116606 / CVE-2026-111560 (publicados el 2 de noviembre, incluyen las adiciones de CISA)
- NVD — CVE-2026-116606 / CVE-2026-111560 (Undergoing Analysis)
- CISA KEV — CVE-2026-116606 / CVE-2026-111560 (añadidos el 10 de noviembre, plazo el 13 de noviembre; la entrada anterior de ESG está en el mismo catálogo)
- CISA — BOD 26-04 implementation guidance (forensic triage steps) (escrita para agencias federales de EE. UU.)
Última verificación: 11 de noviembre de 2026.
Lee a continuación
- Práctica: Guía de respuesta a vulnerabilidades / Lista de comprobación del inventario de activos
- Decisión: Priorizar con CVSS, EPSS y KEV
- Dispositivos expuestos: Cómo defender los dispositivos VPN y el acceso remoto / Vulnerabilidades explotadas en dispositivos perimetrales, mediados de octubre de 2026
- Glosario: Qué es CVSS