Barracuda

CVE-2026-116606 e CVE-2026-111560 — contorno de autenticação e injeção de comandos do sistema operacional no Barracuda Email Security Gateway: explicação e correção (no KEV, prazo: 13 de novembro, verificação de comprometimento necessária)

Em 2 de novembro de 2026 a Barracuda divulgou um contorno de autenticação no Email Security Gateway (ESG) (CVE-2026-116606, CVSS 9,3) e uma injeção de comandos do sistema operacional que afeta ESG, ADC, BMA, WCC, WAF e WSG (CVE-2026-111560, CVSS 8,6). Ambas exigem acesso à interface administrativa e, combinadas, podem levar a root. O boletim diz que a exploração afetou um pequeno número de organizações (acrescentado em 9 de novembro). A CISA incluiu ambas no KEV em 10 de novembro com prazo em 13 de novembro, apenas três dias depois, e exige uma verificação forense. A visão deste site: não pare no patch. Restrinja a interface administrativa, preserve as evidências antes de atualizar e verifique se há sinais de comprometimento.