Fallos en la pasarela de correo Barracuda, ya explotados
Dos fallos del Barracuda Email Security Gateway corregidos el 2 de noviembre ya se usan en ataques. Productos afectados, parches y qué revisar.
Si su empresa filtra el correo con un equipo Barracuda Email Security Gateway, dos fallos corregidos a principios de noviembre ya se están usando en ataques. Barracuda publicó su aviso el 2 de noviembre de 2026 y lo actualizó la noche del 9 de noviembre para indicar que había detectado explotación que afecta a "un pequeño número de organizaciones". El 10 de noviembre, CISA incluyó ambos fallos en su catálogo de vulnerabilidades explotadas.
Los dos fallos
Según el aviso de seguridad de Barracuda:
- CVE-2026-116606 (CVSS 9,3) afecta solo al Email Security Gateway. Permite que alguien con acceso a la interfaz web de administración del equipo eluda los controles de autorización sin iniciar sesión, restaure un archivo de copia manipulado y cambie la configuración. Barracuda lo describió primero como un fallo que exigía credenciales de administrador y lo corrigió el 5 de noviembre.
- CVE-2026-111560 (CVSS 8,6) es un fallo de inyección de comandos que requiere acceso de administrador y ejecuta órdenes como root. También afecta a Load Balancer ADC, Message Archiver, WAF, WAF Control Center y Web Security Gateway de Barracuda.
Combinados, según Barracuda, podrían permitir a un atacante saltarse la autorización y obtener acceso root a un Email Security Gateway. SecurityWeek informa que ni Barracuda ni CISA han dado detalles de los ataques y que las agencias federales tienen tres días para aplicar el parche.
Por qué importa a una pequeña empresa
La pasarela de correo está delante de cada mensaje que su empresa envía y recibe. Quien obtenga acceso root a ella puede leer o alterar el correo y usar el equipo como punto de apoyo dentro de la red. Por eso conviene actuar aunque nunca haya entrado usted en el equipo, algo habitual cuando lo instaló hace años un proveedor o un antiguo responsable de TI.
El aviso no incluye entre los productos afectados el servicio en la nube Barracuda Email Protection, solo los equipos citados arriba. Si no sabe cuál tiene, revise sus contratos o pregunte a quien gestiona su correo.
Qué hacer
- Confirme que los parches están instalados. Para el Email Security Gateway, el parche es BNSF-40425 en la versión 9.4.017 o posteriores, o BNSF-40430 en versiones anteriores. El aviso indica el parche de cada uno de los demás productos. Barracuda pide aplicarlo a mano si no se instaló automáticamente y activar las actualizaciones automáticas.
- Compruebe cuánto se ha quedado atrás el firmware. Barracuda advierte que los equipos con varias versiones de retraso pueden necesitar más de una actualización. Ante la duda, contacte con su soporte técnico.
- Saque la interfaz de administración de internet. Barracuda recomienda limitar las interfaces de administración a redes internas de confianza; las organizaciones que no la tienen expuesta están menos expuestas a este ataque.
- Revise quién tiene cuentas de administrador en el equipo y cambie las contraseñas compartidas o predeterminadas una vez aplicado el parche.
- Si el equipo estuvo expuesto y sin parchear después del 2 de noviembre, trátelo como posiblemente comprometido y hágalo revisar, en lugar de limitarse a parchearlo.
Por ahora ni Barracuda ni CISA han publicado indicadores de compromiso, así que conviene seguir las actualizaciones del aviso.
¿Necesita ayuda?
El correo es una de las vías principales por las que los ataques llegan a las pequeñas empresas, así que los sistemas que lo filtran merecen el mismo cuidado que el firewall. Nuestro servicio de seguridad del correo y protección contra phishing abarca el filtrado y su configuración, y nuestros servicios de ciberseguridad incluyen revisar qué deja ver su red desde internet. Si quiere que revisemos un equipo Barracuda, llame al (213) 986-4855.