Un atacante que pudiera acceder a la interfaz de administración de una pasarela vulnerable Barracuda Email Security Gateway podía encadenar dos fallos para obtener acceso root, el máximo nivel de control del dispositivo. Barracuda informó el 9 de noviembre que había observado actividad de explotación que afectó a un pequeño número de organizaciones. El aviso no indica una cifra exacta.
El 10 de noviembre, la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) añadió ambos fallos, CVE-2026-116606 y CVE-2026-111560, a su catálogo de vulnerabilidades explotadas conocidas. En las dos entradas fijó el 13 de noviembre como fecha límite para corregirlos y las marcó para una evaluación forense inicial. El 13 de noviembre es el plazo federal para la corrección. La CISA explicó en un boletín del 9 de noviembre que la Directiva Operativa Vinculante 26-04 se aplica a los organismos civiles del poder ejecutivo federal.
Los dos fallos funcionan de manera distinta. Según el aviso de seguridad de Barracuda, el primero permite eludir la autenticación en Email Security Gateway si el atacante puede llegar a su interfaz de administración. El segundo permite a un atacante con acceso administrativo ejecutar comandos con privilegios de root. La pasarela es el único producto que Barracuda señala como afectado por ambos fallos; otros cinco productos del aviso solo figuran como afectados por la inyección de comandos.
Para quienes administran la pasarela, lo primero es comprobar quién puede acceder a la interfaz de administración. Barracuda recomienda limitar ese acceso a redes internas de confianza. Después, hay que comprobar el firmware y el estado del parche en el dispositivo: Barracuda indica el parche BNSF-40425 para la versión 9.4.017 del firmware de la pasarela y posteriores, y BNSF-40430 para las anteriores. Si el parche apropiado no se instaló automáticamente, la empresa aconseja aplicarlo manualmente cuanto antes. Los dispositivos con varias versiones de retraso pueden necesitar más de una actualización del firmware.
Queda por saber si alguien entró antes de que se aplicara el parche. Un parche instalado indica qué protección está activa ahora. No permite saber quién accedió al dispositivo antes. Por eso, la marca de evaluación forense inicial del catálogo sigue siendo relevante incluso después de aplicar el parche.