Barracuda Networks advirtió que atacantes ya están explotando dos vulnerabilidades críticas recientemente parcheadas en su Email Security Gateway (ESG), que combinadas les permiten ejecutar comandos con privilegios de root en los dispositivos afectados.
Las fallas, identificadas como CVE-2026-116606 y CVE-2026-111560, fueron corregidas con actualizaciones de seguridad publicadas hace una semana. La primera se origina en una debilidad de autenticación de ESG que puede aprovecharse para modificar la configuración global del dispositivo, mientras que la segunda permite a atacantes no autenticados inyectar comandos del sistema operativo que se ejecutan con privilegios de root.
Para que la explotación tenga éxito, el atacante necesita acceso a la interfaz administrativa del dispositivo, por lo que Barracuda recomienda restringirla a redes internas de confianza y reforzar los controles de acceso a la red. La empresa explicó: “Si se explotan en combinación, estas vulnerabilidades podrían permitir a un atacante eludir los controles de autorización y obtener acceso root”.
El lunes por la noche, Barracuda actualizó su aviso para advertir que las fallas ya están siendo explotadas contra un número limitado de clientes. “Barracuda inició de inmediato un proceso integral de remediación y publicó parches de seguridad. Hemos identificado actividad de explotación que afecta a un pequeño número de organizaciones”, señaló la empresa.
Si el parche no se aplicó automáticamente, debe aplicarse manualmente lo antes posible. Además, Barracuda recomienda activar la recepción automática de parches a quienes la tengan desactivada en sus dispositivos.
Según el aviso, ESG es el único producto afectado por ambas vulnerabilidades. Load Balancer ADC, Message Archiver, WAF, WAF Control Center y WSG también están afectados por la segunda falla, y ya hay parches disponibles para todos ellos.
No es la primera vez que los dispositivos ESG de Barracuda son blanco de ataques. En 2023, la empresa parcheó otra falla de ESG, CVE-2023-7102, explotada por el grupo UNC4841 en ataques de día cero. Ese mismo año, UNC4841 también abusó de la vulnerabilidad CVE-2023-2868 para atacar ESG en una campaña de ciberespionaje. Según Mandiant, esa falla se explotó como día cero durante al menos siete meses, desde octubre de 2022, para instalar el malware SeaSpy y Saltwater y robar datos, y casi un tercio de los sistemas vulnerados en la campaña de 2023 pertenecían a agencias gubernamentales.
Barracuda, fundada en 2003, tiene más de 200,000 clientes en todo el mundo, entre pequeñas y medianas empresas, grandes corporaciones y proveedores de servicios administrados.
Para más noticias de tecnología, cultura geek, gadgets y entretenimiento, visita: GeekAndLife.com.mx. Descubre más contenido en nuestras redes: Instagram | YouTube | TikTok
Fuente: BleepingComputer