Barracuda ESG: bypass de autenticación crítico CVE-2026-116606

Barracuda ESG: bypass de autenticación crítico CVE-2026-116606

Qué es y a quién afectaEl CVE-2026-116606 es una vulnerabilidad de bypass de autenticación mediante una ruta o canal alternativo (CWE-288) en el produ...

Qué es y a quién afecta

El CVE-2026-116606 es una vulnerabilidad de bypass de autenticación mediante una ruta o canal alternativo (CWE-288) en el producto Barracuda Email Security Gateway (ESG) de Barracuda Networks. Según la descripción recogida en la NVD del NIST, un atacante remoto no autenticado puede invocar una función de importación de configuración y restaurar un archivo de copia de seguridad manipulado y compatible, lo que provoca una modificación no autorizada de la configuración global del appliance.

Rendija de correo metálica en una puerta blindada cuya cerradura interna se manipula desde fuera con una herramienta fina

El fallo afecta a las versiones anteriores a 9.4.0.030 en los modelos ESG 300, 400, 600, 800 y 900. La gravedad asignada es CVSS 4.0 de 9.3 (CRITICAL), con vector de red y sin necesidad de privilegios ni interacción del usuario. Es decir, hablamos de una vulnerabilidad crítica que puede alcanzarse directamente desde internet si el panel del equipo está expuesto.

El impacto va más allá de una simple lectura de datos: al alterar la configuración global del gateway de correo, el atacante puede cambiar cómo filtra, enruta o trata el correo de toda la organización. La propia CISA advierte de que esta vulnerabilidad puede encadenarse con CVE-2026-111560, lo que amplía el riesgo real de un incidente.

Por qué es urgente: ya se explota en ataques reales

No estamos ante un fallo teórico. CISA añadió el CVE-2026-116606 a su catálogo KEV (Known Exploited Vulnerabilities) el 10 de noviembre de 2026, lo que confirma que se ha observado explotación activa en ataques reales. La agencia fijó a las agencias federales de EE. UU. un plazo de corrección hasta el 13 de noviembre de 2026, apenas tres días después.

La acción exigida por CISA pasa por aplicar las mitigaciones siguiendo las instrucciones del fabricante, conforme a su directriz BOD 26-04 sobre priorización de actualizaciones según el riesgo, y por cumplir los requisitos de triaje forense. En caso de que no existan mitigaciones disponibles, la indicación es dejar de usar el producto. Además, cada organización debe evaluar la exposición a internet de sus activos. En el material consultado no consta uso en campañas de ransomware, pero eso no reduce la urgencia: un gateway de correo comprometido es una puerta de entrada privilegiada a la organización.

Para una pyme, un comercio online o un equipo de IT pequeño en España, un ESG suele ser un elemento central del correo corporativo. Un cambio silencioso en su configuración puede derivar en filtrado de correo manipulado, suplantaciones o pérdida de trazabilidad, con el consiguiente riesgo de incumplimiento del RGPD y la LOPDGDD si se ven afectados datos personales.

Qué hacer hoy

  • Comprueba si usas el producto y en qué versión. Localiza todos los Barracuda ESG de tu infraestructura, incluidos los que gestione un proveedor externo, y verifica la versión de firmware. Cualquier versión anterior a 9.4.0.030 está afectada.
  • Aplica la actualización o mitigación del aviso del fabricante. Consulta el aviso oficial de Barracuda en trust.barracuda.com y sigue exactamente las instrucciones que indique para tu modelo. No improvises versiones ni parches que no aparezcan en dicho aviso.
  • Revisa indicios de intrusión. Busca cambios no explicados en la configuración global del appliance, importaciones de configuración o restauraciones de copias de seguridad que nadie reconozca, y accesos anómalos al panel de administración. Guarda registros antes de reiniciar o actualizar.
  • Reduce lo expuesto a internet. Limita el acceso al panel de administración a redes de confianza o VPN, revisa reglas de firewall y evita que la interfaz de gestión sea alcanzable desde cualquier origen.
  • Vigila el encadenamiento con CVE-2026-111560. Si detectas actividad sospechosa, no la trates como un incidente aislado: puede formar parte de una cadena de ataque.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes, comercios online y empresas de Lleida, Barcelona, Tarragona, Girona y resto de España que tienen webs en WordPress, PrestaShop o Joomla, servidores propios o un equipo de IT reducido. En casos como este, nuestro papel es convertir el aviso en acciones concretas y verificables.

Empezamos por un inventario real de activos y versiones para saber qué está expuesto y con qué prioridad. A partir de ahí aplicamos hardening de servidores y paneles, revisamos la superficie de ataque publicada en internet y establecemos un proceso de parches de seguridad que no dependa de que alguien se acuerde. Cuando hay sospechas, realizamos tareas de respuesta a incidentes: análisis de registros, contención, erradicación y recuperación, además de pentesting y auditorías para detectar vulnerabilidades antes de que las exploten. También reparamos webs hackeadas y nos ocupamos del mantenimiento y actualización continua de las plataformas que gestionamos.

La lección del CVE-2026-116606 es clara: en seguridad no basta con reaccionar cuando el fallo ya está en el catálogo KEV. Tener un plan de actualización, visibilidad sobre lo expuesto y capacidad de respuesta marca la diferencia entre un susto y un incidente grave.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.