Fallos en Barracuda Email Security Gateway permiten acceso root sin autenticación

Investigadores de seguridad han identificado una cadena crítica de vulnerabilidades en el Email Security Gateway de Barracuda que permite a los atacantes obtener acceso a nivel de root sin autenticarse. Barracuda publicó parches para este problema el lunes 3 de noviembre de 2026, mientras que la firma de seguridad watchTowr publicó un análisis técnico detallado de la cadena de exploits el jueves 6 de noviembre de 2026.

Qué ocurrió

La vulnerabilidad involucra dos fallos distintos que, al combinarse, evaden todos los mecanismos de autenticación. El primer fallo, rastreado como CVE-2026-116606, es una omisión de autorización específica del Email Security Gateway. Permite a un atacante no autenticado restaurar una copia de seguridad de configuración manipulada, alterando así la configuración global del dispositivo. El segundo fallo, CVE-2026-111560, es una vulnerabilidad de inyección de comandos que ejecuta comandos con privilegios de root. Aunque este segundo fallo normalmente requiere credenciales de administrador, la omisión de autorización proporciona el nivel de acceso necesario para activarlo de forma remota.

Mandiant asignó puntuaciones de severidad de 9.3 sobre 10 para la omisión de autorización y 8.6 sobre 10 para la inyección de comandos. Aunque la inyección de comandos afecta a otros cinco productos de Barracuda, esas variantes aún requieren cuentas de administrador válidas, lo que limita su riesgo inmediato en comparación con la cadena específica de la pasarela de correo. Barracuda ha emitido firmware corregido para todos los productos afectados, siendo necesaria la versión 9.4.0.030 o posterior en el Email Security Gateway para resolver ambos problemas.

Detalles clave

• CVE-2026-116606: Una omisión de autorización que permite la restauración de copias de seguridad sin autenticación y cambios de configuración en el Email Security Gateway.
• CVE-2026-111560: Un fallo de inyección de comandos que ejecuta comandos como root, explotable mediante la omisión de autorización en la pasarela.
• Versión corregida: Los usuarios del Email Security Gateway deben actualizar al firmware versión 9.4.0.030 o posterior.
• Vector de ataque: Los atacantes falsifican la suma de verificación de una copia de seguridad utilizando un secreto codificado en el código fuente (hard-coded), e inyectan comandos maliciosos a través de la configuración de zona horaria.
• Estado actual: No hay informes públicos que vinculen estos fallos con ataques activos, y aún no figuran en el catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de CISA.
• Detección: watchTowr lanzó una herramienta para comprobar la vulnerabilidad, pero no ha publicado código de exploit.

Contexto

Para comprender la gravedad, resulta útil analizar cómo funciona técnicamente la cadena de ataque. El análisis de WatchTowr revela que una solicitud fallida de cambio de contraseña no termina correctamente la sesión. En su lugar, asigna al usuario un rol de baja privilegiación que inadvertidamente deja accesible la función de restauración de copias de seguridad. Esta función acepta archivos de configuración subidos. Normalmente, estos archivos están protegidos por una suma de verificación para garantizar su integridad. Sin embargo, dado que la clave secreta utilizada para generar esta suma de verificación está incrustada directamente en el código fuente, un atacante puede calcular una suma de verificación válida para un archivo malicioso.

Una vez restaurada la copia de seguridad falsificada, el dispositivo procesa los datos de configuración. Específicamente, toma un valor de zona horaria de la copia de seguridad y lo ejecuta como un comando de shell con privilegios de root. Al incrustar un comando malicioso en el campo de zona horaria de la copia de seguridad manipulada, el atacante logra ejecución de código remoto con los permisos más altos posibles en el dispositivo. Este tipo de vulnerabilidad es particularmente peligrosa para las pasarelas de correo electrónico, que se sitúan en el perímetro de las redes corporativas y gestionan tráfico de comunicaciones sensibles.

Por qué importa

Para los equipos que gestionan su propia infraestructura, este incidente destaca los riesgos asociados con dispositivos cerrados y complejos. La dependencia de un secreto codificado en el código fuente para la validación de sumas de verificación representa un fallo fundamental de diseño. Cuando los secretos se incrustan en el código en lugar de gestionarse dinámicamente, cualquier parte con acceso al binario puede realizar ingeniería inversa para extraerlos. Esto socava las comprobaciones de integridad destinadas a proteger las copias de seguridad de configuración, convirtiendo una función de seguridad en un vector de ataque. Para los líderes de TI, esto subraya la importancia de examinar cómo los proveedores gestionan los secretos criptográficos y la administración de configuraciones.

Además, el encadenamiento de dos fallos de severidad moderada en un exploit crítico demuestra por qué son esenciales las pruebas de seguridad holísticas. Individualmente, una omisión de autorización y una inyección de comandos podrían tener calificaciones más bajas si requirieran acceso parcial. Juntos, crean una ruta hacia root sin necesidad de autenticación. Este escenario recuerda que las evaluaciones de seguridad deben considerar cómo interactúan diferentes componentes. Los equipos que ejecutan software autoalojado deben revisar regularmente los avisos de los proveedores no solo por vulnerabilidades individuales, sino por posibles cadenas que puedan escalar privilegios inesperadamente.

Qué puedes hacer

• Actualiza inmediatamente: Aplica el último firmware (versión 9.4.0.030 o posterior) a todas las pasarelas Barracuda Email Security Gateways.
• Restringe el acceso a la red: Si no es posible aplicar el parche inmediatamente, limita el acceso a la interfaz de administración solo a direcciones IP internas confiables.
• Habilita las actualizaciones automáticas: Asegúrate de que el parcheo automático esté habilitado para reducir la ventana de exposición ante futuras vulnerabilidades.
• Ejecuta herramientas de detección: Utiliza la herramienta de detección lanzada por watchTowr para verificar si tus dispositivos son actualmente vulnerables.
• Audita los registros: Revisa los registros del sistema en busca de actividades inusuales de restauración de copias de seguridad o intentos fallidos de cambio de contraseña desde IPs externas.
• Monitorea los avisos: Suscríbete a las notificaciones de seguridad del proveedor y a las alertas de CISA para mantenerte informado sobre nuevas amenazas.