La empresa de ciberseguridad Barracuda Networks ha alertado a sus clientes sobre la necesidad de aplicar parches a dos vulnerabilidades que podrían permitir a los atacantes ejecutar comandos con privilegios de root en los dispositivos afectados.
El primer fallo, de carácter crítico y registrado como CVE-2026-116606, deriva de una debilidad de autenticación en el Email Security Gateway (ESG) que los atacantes podrían aprovechar para modificar la configuración global del equipo. El segundo, identificado como CVE-2026-111560, permite a actores de amenazas con permisos de administrador inyectar comandos del sistema operativo que se ejecutan como root.
No obstante, la compañía subraya que la explotación exitosa exige acceso a las interfaces administrativas de los dispositivos objetivo. Por ello, recomienda a los clientes aplicar controles de acceso de red adecuados y restringir el acceso a redes internas de confianza con el fin de reducir la exposición.
La explotación exitosa requiere que un atacante tenga acceso a la interfaz administrativa de un producto afectado. Si se explotan de forma combinada, estas vulnerabilidades podrían permitir a un atacante eludir los controles de autorización y obtener acceso root al dispositivo.
Barracuda asegura haber iniciado de inmediato un proceso de remediación integral y haber publicado parches de seguridad para los productos afectados. La empresa pide a los clientes que revisen qué productos están afectados y la guía de remediación correspondiente, que se cercioren de que sus sistemas ejecutan la versión de firmware más reciente y que cuentan con todos los parches de seguridad aplicados. La lista completa de dispositivos afectados y de los parches disponibles figura en una tabla publicada por la compañía.
Este episodio recuerda lo ocurrido hace tres años, cuando Barracuda también corrigió una vulnerabilidad en el Email Security Gateway (CVE-2023-7102) que el grupo de hackers UNC4841 explotó en ataques de día cero para ejecutar código arbitrario en equipos sin parchear. Ese mismo año, los atacantes de UNC4841 abusaron de otro día cero (CVE-2023-2868) para atacar los dispositivos ESG de Barracuda en el marco de campañas de ciberespionaje.
Barracuda reveló después que esa vulnerabilidad se había estado explotando durante al menos siete meses, desde octubre de 2022 como mínimo, para desplegar los hasta entonces desconocidos programas maliciosos SeaSpy y Saltwater y robar datos de los sistemas comprometidos. Según la firma de ciberseguridad Mandiant, casi un tercio de los dispositivos atacados en la campaña de 2023 pertenecía a agencias gubernamentales de todo el mundo, y la mayoría de las intrusiones se produjo entre octubre y diciembre de 2022.
Fundada en 2003, Barracuda cuenta con más de 200.000 clientes en todo el mundo, entre pequeñas y medianas empresas (pymes), grandes corporaciones y proveedores de servicios gestionados (MSP).
Deja una respuesta