CVE-2026-116606: bypass de autenticación en Barracuda Email Security Gateway
CVE-2026-116606: bypass de autenticación en Barracuda Email Security Gateway explotado activamente
CISA añadió el CVE-2026-116606 al catálogo de Vulnerabilidades Explotadas Conocidas (KEV) el 10 de noviembre de 2026. Afecta al Barracuda Email Security Gateway (ESG), cuenta con un puntaje CVSS 9.8 (crítico) y está clasificada como CWE-288: bypass de autenticación mediante una ruta o canal alternativo. La fecha límite para agencias federales (FCEB) es el 13 de noviembre de 2026. CISA indica que el uso en campañas de ransomware es, por ahora, desconocido.
Análisis Técnico
Según CISA, un atacante remoto sin autenticación puede invocar la función de importación de configuración del appliance y restaurar un archivo de respaldo compatible, pero manipulado. El resultado es la modificación no autorizada de la configuración global del equipo.
Vector de Ataque
- Acceso por red, sin credenciales ni interacción del usuario.
- Uso de una ruta alternativa que omite la autenticación y llega a la función de importación de configuración.
- Carga de un backup diseñado a medida que sustituye la configuración vigente.
- CISA advierte que esta falla puede encadenarse con CVE-2026-111560. El advisory de Barracuda describe una cadena de bypass de autorización previo a la autenticación e inyección de comandos.
Impacto Operacional y de Seguridad
Controlar la configuración global de un gateway de correo equivale a controlar el flujo de correo de la organización. Entre los riesgos plausibles:
- Alteración de reglas de filtrado, políticas antispam/antimalware y listas de permitidos.
- Redirección o exposición de correo corporativo.
- Persistencia en un equipo perimetral y base para movimiento lateral.
- Escalada a ejecución de comandos si se encadena con CVE-2026-111560.
Productos Afectados
Barracuda Networks Email Security Gateway (ESG). Las versiones afectadas y las corregidas están en el advisory oficial de Barracuda. Consúltalo para confirmar tu build y el estado de las actualizaciones.
Recomendaciones y Mitigación
Acciones Inmediatas Recomendadas
- Aplicar las mitigaciones y actualizaciones indicadas por Barracuda de inmediato.
- Cumplir la directiva BOD 26-04 y los requisitos de triaje forense de CISA.
- Evaluar la exposición a Internet de cada appliance ESG y restringir el acceso de administración.
- Revisar la configuración actual contra una línea base conocida: cambios inesperados en reglas, relays o cuentas indican compromiso.
- Buscar en los logs importaciones o restauraciones de configuración no autorizadas, además de actividad asociada a CVE-2026-111560.
- Si no hay mitigaciones disponibles, CISA indica discontinuar el uso del producto.