Uma explicação sobre duas vulnerabilidades no Barracuda Email Security Gateway (ESG, um appliance que filtra o e-mail recebido contra spam e malware) e em outros produtos da Barracuda, em que um invasor que alcance a interface administrativa pode assumir o controle do dispositivo. Cobre o escopo e as correções do ponto de vista da defesa e não inclui como atacar.
- CVE
- CVE-2026-116606 (contorno de autenticação) e CVE-2026-111560 (injeção de comandos do sistema operacional)
- Gravidade
- 116606: CVSS v4.0 9,3 (Critical no registro CVE; o boletim da Barracuda diz High) / 111560: CVSS v4.0 8,6 (High)
- Tipo
- 116606: contorno de autenticação (CWE-288); uma função de importação de configuração pode ser invocada sem autenticação para alterar a configuração global / 111560: injeção de comandos do sistema operacional (CWE-78) no campo de configuração de fuso horário; os comandos são executados como root
- Pré-condições
- 116606: não exige autenticação, mas a interface administrativa precisa estar acessível (boletim corrigido em 5 de novembro) / 111560: exige autenticação de administrador. Os dois podem ser encadeados
- Afetado
- 116606: ESG / 111560: ESG, Load Balancer ADC, Message Archiver (BMA), WAF Control Center (WCC), Web Application Firewall (WAF), Web Security Gateway (WSG)
- Correção
- Dada como IDs de patch (ESG: BNSF-40425 / BNSF-40430). Se não for aplicada automaticamente, aplique manualmente
- Publicado
- Boletim da Barracuda e CVE: 2 de novembro de 2026
- Exploração
- A Barracuda relata uma exploração que afetou um pequeno número de organizações. Incluídos no CISA KEV em 10 de novembro de 2026 (prazo: 13 de novembro). Triagem forense necessária
O risco de deixar para depois
Em muitas implantações, um ESG fica onde passa o e-mail recebido e geralmente guarda o roteamento de e-mail, as configurações de encaminhamento e as credenciais dos sistemas conectados. Alterar sua configuração global, ou obter root, atinge o conteúdo e o fluxo do seu e-mail. A Barracuda diz que viu exploração, e a CISA avalia a exploração como ativa.
Que tipo de vulnerabilidades são
A Barracuda cobre ambas em um único boletim. Ela diz que a exploração exige acesso à interface administrativa de um produto afetado e que, combinadas, as falhas poderiam permitir que um invasor contornasse os controles de autorização e obtivesse root no dispositivo.
CVE-2026-116606 (somente ESG)
- Tipo: contorno de autenticação (CWE-288)
- Um invasor não autenticado pode invocar uma função de importação de configuração e alterar a configuração global
- Não exige autenticação, mas a interface administrativa precisa estar acessível
- CVSS v4.0 9,3
CVE-2026-111560 (seis produtos)
- Tipo: injeção de comandos do sistema operacional (CWE-78)
- A verificação insuficiente do campo de fuso horário permite que um administrador execute comandos como root
- Exige autenticação de administrador
- CVSS v4.0 8,6
Uma correção importa. Em 5 de novembro a Barracuda mudou o campo «Authentication Required» do CVE-2026-116606 de Yes, administrative access para No (Administrative UI Access Required) (tradução nossa, não uma citação literal). Não são necessárias credenciais, então, em um dispositivo cuja interface administrativa é visível de fora, a pré-condição já está atendida. Na leitura deste site, o CVE-2026-111560 precisa de um administrador autenticado, mas, combinado com este contorno, também se conecta a um caminho não autenticado (a descrição do KEV também menciona o encadeamento).
A Barracuda não descreve os passos do ataque nem o formato da requisição, e este site também não.
Escopo
| Produto | CVE-2026-116606 | CVE-2026-111560 | Patch (boletim da Barracuda) |
|---|---|---|---|
| Email Security Gateway (ESG) | Afetado | Afetado | BNSF-40425 (9.4.017 e posteriores), BNSF-40430 (anteriores à 9.4.017) |
| Load Balancer ADC | Não afetado | Afetado | BNADC-16586 |
| Message Archiver (BMA) | Não afetado | Afetado | BNMA-32468 |
| WAF Control Center (WCC) | Não afetado | Afetado | BNWF-60060 |
| Web Application Firewall (WAF) | Não afetado | Afetado | BNADC-16586 |
| Web Security Gateway (WSG) | Não afetado | Afetado | BNYF-24789 |
- O boletim dá as correções como IDs de patch e não lista as faixas de versões afetadas. As faixas de versões afetadas constam nos registros CVE e nos relatórios da empresa de pesquisa. CVE-2026-116606: ESG anterior à 9.4.0.030. CVE-2026-111560: ESG 9.4.0.27 ou anterior, ADC 6.4.0 ou anterior, WAF 11.0.1 ou anterior, WSG 16.1.100.100 ou anterior, BMA 5.5.4.0 ou anterior, WCC 2.2.1 ou anterior.
- Os formatos de versão diferem entre as fontes (por exemplo 9.4.0.030 e 9.4.0.27), então decida pela última versão de firmware que o dispositivo mostra e pelo status dos patches.
- A Barracuda diz que um dispositivo várias versões atrasado pode precisar de mais de uma atualização, e que o Barracuda Support pode ajudar.
- A única mitigação que o boletim dá é limitar a interface administrativa a redes internas confiáveis. Nenhuma configuração substitui a atualização.
Como saber se você é afetado
Encontre todos os dispositivos Barracuda
Não apenas o ESG: Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall e Web Security Gateway também são afetados. Conte separadamente as instâncias físicas, virtuais e na nuvem (checklist de inventário de ativos).
Verifique se a interface administrativa é acessível de fora
Verifique se a interface administrativa (Admin UI) é visível pela internet ou por redes internas não confiáveis. A Barracuda diz que organizações cujas interfaces administrativas não são acessíveis publicamente estão menos expostas a este caminho de ataque.
Verifique a versão do firmware e o status dos patches
O dispositivo mostra a última versão de firmware disponível. Verifique se o patch foi aplicado automaticamente e se os patches automáticos não foram desativados.
O que fazer hoje
O prazo do KEV é 13 de novembro. Trabalhe nesta ordem.
Restrinja a interface administrativa (primeiro)
Como a Barracuda aconselha, limite a interface administrativa a redes internas confiáveis e restrinja com controles de acesso as origens que podem alcançá-la. Você pode fazer isso sem esperar pela atualização.
Preserve a configuração e os registros antes de atualizar
O procedimento da CISA diz para coletar evidências antes de aplicar o patch, porque o patch pode destruir artefatos. Antes de atualizar, salve em outro lugar uma cópia da configuração do dispositivo e dos registros de administração, autenticação e processamento de e-mail, e anote quando e por quem foram coletados (guia de resposta a vulnerabilidades).
Aplique o patch e confirme que foi aplicado
Aplique o patch da tabela acima. Se não foi aplicado automaticamente, aplique manualmente; se você havia desativado os patches automáticos, configure o dispositivo para receber patches automaticamente de novo. As instruções manuais estão no Barracuda Campus. Depois, confirme a versão do firmware e o status dos patches que o dispositivo mostra.
Verifique se há sinais de comprometimento (forense)
O boletim da Barracuda não diz como verificar. Os pontos abaixo são um acréscimo próprio deste site.
- Contas de administrador adicionadas ou alteradas, e logins na interface administrativa em horários ou origens inesperados.
- Registros de alterações de configuração e de restaurações (importações) de configuração, e quaisquer valores de configuração inesperados.
- Alterações desconhecidas no roteamento de e-mail, no encaminhamento ou nas configurações de filtros.
- Conexões de saída incomuns do appliance, ou ações administrativas inesperadas.
Se algo parecer suspeito, isole o dispositivo e troque as credenciais
Se encontrar atividade suspeita, isole o dispositivo, chame investigadores e entre em contato com o Barracuda Support. Trate as senhas de administrador guardadas no dispositivo, as credenciais dos sistemas conectados (diretório, servidores de e-mail, APIs) e os certificados como precisando de substituição (acréscimo deste site). Mesmo que não encontre nada, registre o que verificou e em qual período.
Status da exploração
- O boletim da Barracuda diz que identificou uma exploração que afetou um pequeno número de organizações (acrescentado em 9 de novembro).
- A CISA incluiu ambos no KEV em 10 de novembro de 2026 com prazo de 13 de novembro (versão do KEV 2026.11.10), três dias depois.
- No KEV, a triagem forense é Yes para os dois CVEs. O uso em ransomware é Desconhecido.
- Os registros CVE trazem a avaliação da CISA: o CVE-2026-116606 é explorado ativamente, automatizável, com impacto técnico total; o CVE-2026-111560 é explorado ativamente, não automatizável, com impacto técnico total.
- O NVD mostra ambos como Undergoing Analysis, com os valores CVSS atribuídos pela empresa de pesquisa.
- Não conseguimos confirmar a escala, os métodos nem os autores a partir de informações públicas.
- O Barracuda ESG já esteve no KEV: o CVE-2023-2868 foi incluído em 26 de maio de 2023. É uma vulnerabilidade diferente.
A visão deste site: olhe se a interface administrativa é acessível, não se a autenticação é exigida
Olhando apenas o CVE-2026-111560, é tentador baixar a prioridade porque ele exige autenticação de administrador. Mas o CVE-2026-116606 pode alterar a configuração do dispositivo sem autenticação, então, juntos, a condição passa a ser simplesmente «a interface administrativa é acessível».
O que os defensores devem observar é de onde a interface administrativa pode ser alcançada, mais do que se cada falha exige autenticação. Limitar a interface administrativa às redes internas ajuda contra estas duas e contra a próxima falha desse tipo. Junto com a atualização, torne essa restrição permanente (defender dispositivos expostos).
Fontes
- Barracuda — Pre-Authentication Authorization Bypass and Command Injection Vulnerabilities in Certain Barracuda Products (publicado em 2 de novembro, atualizado em 5 e 9 de novembro; produtos afetados, patches, orientação, exploração confirmada)
- Relatórios da empresa de pesquisa — boletim do CVE-2026-116606 / boletim do CVE-2026-111560 (faixas de versões afetadas)
- CVE.org — CVE-2026-116606 / CVE-2026-111560 (publicados em 2 de novembro, incluem os acréscimos da CISA)
- NVD — CVE-2026-116606 / CVE-2026-111560 (Undergoing Analysis)
- CISA KEV — CVE-2026-116606 / CVE-2026-111560 (incluídos em 10 de novembro, prazo em 13 de novembro; a entrada anterior do ESG está no mesmo catálogo)
- CISA — BOD 26-04 implementation guidance (forensic triage steps) (escrita para agências federais dos EUA)
Última verificação: 11 de novembro de 2026.
Leia a seguir
- Prática: Guia de resposta a vulnerabilidades / Checklist de inventário de ativos
- Decisão: Priorizar com CVSS, EPSS e KEV
- Dispositivos expostos: Como defender dispositivos de VPN e o acesso remoto / Vulnerabilidades exploradas em dispositivos de borda, meados de outubro de 2026
- Glossário: O que é CVSS