El CVE-2026-116606 (CWE-288, CVSS 9.8) afecta a Barracuda Email Security Gateway. Un atacante remoto no autenticado puede invocar la función de importación de configuración y restaurar un backup manipulado, modificando la configuración global del appliance. Puede encadenarse con CVE-2026-111560. Explotación activa confirmada por CISA KEV (agregado el 2026-11-10). Uso en ransomware: desconocido.
Alerta de Seguridad: Barracuda ESG - Bypass de autenticación
// resumen_ejecutivo
CVE-2026-116606 (CVSS 9.8): bypass de autenticación en Barracuda ESG permite modificar la configuración global sin credenciales. CISA KEV. Plazo FCEB 13/11/2026.
// descripcion_detallada
// vectores_de_ataque
Red, remoto, sin autenticación. Bypass de autenticación por ruta alternativa (CWE-288) hacia la importación de configuración; modificación de la configuración global. Encadenable con CVE-2026-111560.
// indicadores_de_compromiso 1 tipo
CVEs (1)
CVE-2026-116606
// recomendaciones_de_mitigacion
- Aplicar de inmediato las mitigaciones y parches indicados por Barracuda.
- Cumplir CISA BOD 26-04 y los requisitos de triaje forense.
- Restringir la exposición a Internet y la administración del ESG.
- Auditar la configuración y los logs en busca de importaciones no autorizadas.
- Si no hay mitigación disponible, discontinuar el uso del producto.
// referencias_externas
- https://nvd.nist.gov/vuln/detail/CVE-2026-116606
- https://www.cve.org/CVERecord?id=CVE-2026-116606
- https://trust.barracuda.com/security/pre-authentication-authorization-bypass-co…
- https://github.com/mandiant/Vulnerability-Disclosures/blob/master/2026/MNDT-202…
- https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-upd…