A CISA adicionou duas vulnerabilidades do Barracuda ao catálogo de falhas exploradas, e a fabricante confirmou atividade de ataque contra um pequeno número de organizações. A CVE-2026-116606 permite contornar a autenticação do Barracuda Email Security Gateway (ESG), enquanto a CVE-2026-111560 permite injetar comandos de sistema em vários appliances Barracuda.
As duas falhas devem ser tratadas como prioridade. A CVE-2026-116606 tem CVSS 4.0 de 9,3, nível crítico. A CVE-2026-111560 tem CVSS 4.0 de 8,6, nível alto. Quando combinadas no ESG, podem permitir que um atacante contorne controles de autorização e obtenha acesso root ao dispositivo.
O que a CISA confirmou
Em 10 de novembro de 2026, a CISA adicionou as duas vulnerabilidades ao catálogo Known Exploited Vulnerabilities (KEV), com base em evidências de exploração ativa. O prazo indicado para as duas entradas é 13 de novembro de 2026.
A inclusão no KEV não significa que todas as instalações Barracuda estejam comprometidas. Ela indica que a vulnerabilidade já foi observada em exploração e deve ser priorizada no gerenciamento de riscos. A Barracuda também informou que identificou atividade afetando um pequeno número de organizações.
CVE-2026-116606: bypass de autenticação no ESG
A falha permite que um atacante remoto não autenticado invoque uma função de importação de configuração e restaure um arquivo de backup compatível e manipulado. O resultado pode ser uma alteração não autorizada da configuração global do appliance.
A autenticação não é necessária para explorar a vulnerabilidade. Há, porém, uma condição importante: a interface administrativa do ESG precisa estar acessível ao atacante. Uma interface administrativa exposta diretamente à internet amplia o risco e deve ser tratada como situação prioritária.
A CVE-2026-116606 afeta o Barracuda Email Security Gateway em versões anteriores à 9.4.0.030. O advisory da fabricante identifica a falha como um bypass de autorização pré-autenticação e atribui CVSS 9,3.
CVE-2026-111560: injeção de comandos com privilégio root
A segunda falha está relacionada à neutralização inadequada de metacaracteres de shell no campo de configuração de fuso horário. Um administrador autenticado pode inserir um valor manipulado. Quando o fuso horário é processado, comandos de sistema podem ser executados com privilégios root.
O requisito de acesso administrativo reduz o conjunto de atacantes que pode explorar a falha diretamente, mas não elimina o risco. Uma conta administrativa comprometida, compartilhada ou excessivamente privilegiada pode fornecer o acesso necessário. A exploração também pode ocorrer depois que a CVE-2026-116606 for usada para alterar a configuração do ESG.
Produtos e versões afetados
| Produto | CVE-2026-116606 | CVE-2026-111560 |
|---|---|---|
| Email Security Gateway (ESG) | Versões anteriores à 9.4.0.030 | Até 9.4.0.27 |
| Load Balancer ADC | Não afetado | Até 6.4.0 |
| Web Application Firewall (WAF) | Não afetado | Até 11.0.1 |
| Web Security Gateway (WSG) | Não afetado | Até 16.1.100.100 |
| Message Archiver (BMA) | Não afetado | Até 5.5.4.0 |
| WAF Control Center (WCC) | Não afetado | Até 2.2.1 |
A Barracuda publicou os patches BNSF-40425 para ESG na versão 9.4.017 ou superior e BNSF-40430 para ESG abaixo da 9.4.017. Para os demais produtos, o advisory lista BNADC-16586 para ADC e WAF, BNMA-32468 para BMA, BNWF-60060 para WCC e BNYF-24789 para WSG.
Como reduzir o risco imediatamente
Aplique os patches da Barracuda. Verifique o firmware instalado em cada appliance e aplique manualmente o patch correspondente se ele não tiver sido instalado automaticamente. Se o equipamento estiver várias versões atrasado, a atualização pode exigir mais de uma etapa.
Restrinja a interface administrativa. A Barracuda recomenda que a Admin UI fique acessível apenas a redes internas confiáveis. Use ACLs, VPN, bastion hosts ou controles equivalentes. Não publique a interface administrativa diretamente na internet.
Reative a atualização automática quando possível. A fabricante recomenda manter o recebimento automático de patches habilitado. Em ambientes que exigem aprovação manual, estabeleça uma janela emergencial para falhas incluídas no KEV.
Revise configurações e backups. Procure restaurações inesperadas de configurações, arquivos de backup importados sem mudança programada, alterações no fuso horário, modificações de DNS, contas administrativas novas e mudanças em regras de entrega ou filtragem de e-mail.
Investigue atividade de exploração. Preserve logs de acesso à Admin UI, autenticação, importação de configurações, atualizações de firmware, mudanças administrativas e conexões de saída. Verifique especialmente eventos anteriores à aplicação do patch, pois a CISA recomenda avaliar possível comprometimento antes da correção.
Se houver sinais de comprometimento
Isole o appliance conforme o plano de resposta a incidentes, sem apagar evidências. Revogue sessões administrativas, troque credenciais privilegiadas e valide as contas autorizadas. Se o produto fizer parte de uma cadeia de segurança de e-mail, verifique também alterações em roteamento, quarentena, regras de transporte, listas de permitidos e integrações externas.
Como a injeção de comandos pode executar ações como root, não limite a investigação ao conteúdo de configuração. Analise processos, arquivos alterados, tarefas agendadas, conexões de rede, chaves e certificados instalados e qualquer credencial armazenada ou acessível pelo appliance.
Depois da contenção, aplique o firmware corrigido e confirme a versão em todos os nós. Se houver dúvida sobre a integridade do equipamento, siga a orientação do suporte Barracuda para reinstalação ou recuperação segura.
Conclusão
As CVEs 2026-116606 e 2026-111560 formam uma combinação perigosa no Barracuda ESG. A primeira permite alterar a configuração global sem autenticação quando a Admin UI está acessível; a segunda permite executar comandos como root com acesso administrativo e também afeta ADC, WAF, WSG, BMA e WCC.
A CISA confirmou exploração ativa e incluiu as duas falhas no KEV em 10 de novembro. A ação recomendada é aplicar imediatamente os patches da Barracuda, retirar a interface administrativa da internet, revisar alterações e investigar sinais de comprometimento antes e depois da atualização.
Fontes primárias
Barracuda Trust Center: Pre-Authentication Authorization Bypass and Command Injection Vulnerabilities.
CISA: CISA Adds Six Known Exploited Vulnerabilities to Catalog.
CVE-2026-116606: Registro oficial no CVE.org.
CVE-2026-111560: Registro oficial no CVE.org.
