NoticiasNews

Barracuda Email Security Gateway: dos fallas encadenadas dan acceso root sin iniciar sesión; ya hay parcheBarracuda Email Security Gateway: two chained flaws give root access without logging in; a patch is available

2026-11-06

El 6 de noviembre de 2026, The Hacker News informó que los investigadores de watchTowr publicaron el análisis técnico de dos vulnerabilidades de Barracuda que, encadenadas, permiten obtener acceso root en el Email Security Gateway (ESG) sin necesidad de iniciar sesión. Barracuda había publicado los parches el lunes anterior.

Qué se descubrió

  • CVE-2026-116606: una omisión de autorización. Un atacante sin credenciales puede restaurar una copia de configuración manipulada y cambiar ajustes globales. Afecta solo al Email Security Gateway y Mandiant, que asignó el registro, le da 9,3 sobre 10.
  • CVE-2026-111560: una inyección de comandos que se ejecuta como root, pero que normalmente exige una cuenta de administrador. Alcanza a otros cinco productos de Barracuda, donde sigue requiriendo acceso administrativo, y se califica con 8,6.

Según el análisis, un cambio de contraseña fallido devuelve un rol de bajo privilegio en lugar de detener la solicitud, lo que deja abierta la función de restauración de copias. Uno de los valores restaurados, la zona horaria, se ejecuta más tarde como comando de shell con privilegios de root, y la suma de verificación de la copia usa un secreto fijo en el código que un atacante puede reproducir.

Estado y recomendaciones

Hasta ahora ninguna de las dos fallas figura en el catálogo KEV de CISA y no hay un reporte público que las vincule con ataques; watchTowr publicó una herramienta de detección, pero no un exploit. La versión corregida del ESG es la 9.4.0.030 o posterior. Barracuda recomienda aplicar el parche, limitar la interfaz de administración a redes internas de confianza si no se puede actualizar de inmediato y reactivar las actualizaciones automáticas si estaban desactivadas. Cabe recordar que este mismo producto fue blanco de otra falla distinta (CVE-2023-2868) explotada como día cero en 2023.

Fuente: The Hacker News (6 de noviembre de 2026), con análisis de watchTowr y registros de Mandiant.

Qué significa para los equipos de soporte

El correo es la puerta de entrada de gran parte de las solicitudes de clientes y de los avisos de tickets. Una pasarela comprometida no solo expone mensajes: interrumpe la atención. Contar con un inventario claro de qué equipos existen, quién los administra y en qué versión están es lo que permite reaccionar en horas y no en semanas. Con Servigo365 los equipos de TI y soporte pueden registrar cada actualización pendiente como un ticket con responsable y SLA, y mantener el historial de lo que se hizo, mientras que Nexturno ayuda a que las sucursales sigan atendiendo con turnos y colas ordenados si hay que aplicar ventanas de mantenimiento.

On November 6, 2026, The Hacker News reported that watchTowr researchers published the technical analysis of two Barracuda vulnerabilities that, when chained, allow root access on the Email Security Gateway (ESG) without logging in. Barracuda had released patches the previous Monday.

What was found

  • CVE-2026-116606: an authorization bypass. An unauthenticated attacker can restore a crafted configuration backup and change global settings. It affects only the Email Security Gateway and Mandiant, which assigned the record, rates it 9.3 out of 10.
  • CVE-2026-111560: a command injection that runs as root but normally requires an administrator account. It reaches five other Barracuda products, where admin access is still needed, and is rated 8.6.

According to the analysis, a failed password change returns a low-privilege role instead of stopping the request, leaving the backup-restore function open. One restored value, the timezone, is later run as a root shell command, and the backup checksum uses a secret hardcoded in the software that an attacker can reproduce.

Status and recommendations

So far neither flaw is in CISA's KEV catalog and no public report ties them to attacks; watchTowr released a detection tool but not an exploit. The fixed ESG version is 9.4.0.030 or later. Barracuda advises applying the patch, restricting the administration interface to trusted internal networks if you cannot upgrade right away, and turning automatic updates back on if they were disabled. It is worth remembering that this same product was hit by a different flaw (CVE-2023-2868) exploited as a zero-day in 2023.

Source: The Hacker News (November 6, 2026), with analysis by watchTowr and records from Mandiant.

What this means for support teams

Email is the front door for much of the customer requests and ticket notifications. A compromised gateway does not only expose messages: it interrupts service. A clear inventory of which devices exist, who manages them and which version they run is what lets teams react in hours instead of weeks. With Servigo365, IT and support teams can log each pending update as a ticket with an owner and SLA and keep the history of what was done, while Nexturno helps branches keep serving customers with orderly queues and appointments during maintenance windows.

← Volver al blog← Back to blog