CVE-2026-111560: inyección de comandos en múltiples productos Barracuda explotada activamente

CVE-2026-111560: inyección de comandos del SO en múltiples productos Barracuda, explotada activamente

CISA incorporó el CVE-2026-111560 al catálogo Known Exploited Vulnerabilities (KEV) el 10 de noviembre de 2026, lo que confirma explotación activa. Se trata de una vulnerabilidad de inyección de comandos del sistema operativo (CWE-78) que afecta a una amplia familia de productos de Barracuda Networks. El uso en campañas de ransomware figura como desconocido por ahora. La fecha límite para agencias civiles federales (FCEB) es el 13 de noviembre de 2026, apenas tres días después de su inclusión.

Análisis Técnico

Según la descripción de CISA, la falla permite que un administrador autenticado inyecte comandos del sistema operativo mediante un valor de zona horaria (timezone) manipulado. El comando se ejecuta con privilegios de root cuando ese valor se procesa posteriormente.

Vector de Ataque

El atacante necesita credenciales de administrador en la interfaz de gestión del dispositivo.
Envía un valor de zona horaria con metacaracteres de shell que no es sanitizado antes de ser usado en una llamada al sistema.
Al procesarse el valor, el comando se ejecuta como root, lo que otorga control total del equipo.
CISA señala que esta vulnerabilidad puede encadenarse con CVE-2026-116606. El aviso del fabricante se titula «pre-authentication authorization bypass + command injection», por lo que la cadena permitiría llegar a la ejecución de comandos como root sin credenciales previas. Consulte el aviso oficial para confirmar el detalle de la cadena.

Impacto Operacional y de Seguridad

Estos equipos suelen estar en el perímetro de la red y procesar tráfico sensible (correo, balanceo, aplicaciones web). Un compromiso con privilegios de root permite:

Interceptar o exfiltrar correo, tráfico y credenciales.
Instalar persistencia y puertas traseras en el dispositivo.
Usar el equipo como punto de pivote hacia la red interna.
Alterar reglas de seguridad de WAF/ESG y debilitar las defensas.

Productos Afectados

Barracuda Email Security Gateway (ESG)
Barracuda Load Balancer
Barracuda Application Delivery Controller (ADC)
Barracuda Message Archiver (BMA)
Barracuda WAF Control Center (WCC)
Barracuda Web Application Firewall (WAF)
Barracuda Web Security Gateway (WSG)

No se pudieron extraer en esta publicación las versiones exactas afectadas y corregidas; consulte el aviso del fabricante.

Recomendaciones y Mitigación

Acciones Inmediatas Recomendadas

Aplicar las mitigaciones y parches indicados por Barracuda según su aviso oficial.
Seguir la directiva BOD 26-04 de CISA y sus requisitos de «Forensics Triage».
Restringir el acceso a la interfaz de administración a redes de gestión dedicadas; nunca exponerla a Internet.
Rotar credenciales de administrador y revisar cuentas y registros de acceso en busca de actividad anómala.
Revisar valores de zona horaria y configuración inusuales; realizar análisis forense si se sospecha compromiso.
Si no hay mitigaciones disponibles, evaluar discontinuar el uso del producto, como indica CISA.

La investigación técnica de Mandiant está disponible en su repositorio de divulgaciones.