Vulnerabilidad · crítica · CVSS 9.3
Barracuda confirma la explotación de fallos en su Email Security Gateway
Nivel B · Parchea esta semana – Al sprint
Quién está expuesto: Organizaciones que usan Barracuda Email Security Gateway
Nivel B porque: Se está explotando O exploit público
Alcance
Ataque
Daño
Corrección
Se está explotando · En remoto, sin credenciales · Compromiso total
Lo esencial
- Barracuda confirma la explotación activa de fallos de seguridad en su Email Security Gateway (ESG).
- Según la fuente, los atacantes podrían combinar dos vulnerabilidades, entre ellas la CVE-2026-116606, para obtener acceso root sin iniciar sesión.
Por qué importa
Si su organización usa Barracuda Email Security Gateway, un atacante podría obtener control total del equipo sin credenciales, lo que pone en riesgo el correo y los sistemas conectados.
La checklist detrás del nivel
Checklist · 4 de 10 con sí
| Sí | Afecta a equipos técnicos | Pasarela de seguridad de correo usada por equipos de TI y seguridad, según conocimiento general del producto. |
| No | Infraestructura básica | Es un dispositivo de un solo fabricante, no software básico que opere casi todo equipo técnico. |
| No | Herramienta popular | Producto de un fabricante concreto con uso empresarial, no una herramienta de desarrollo masivamente extendida. |
| Sí | Se está explotando | CISA SSVCCISA califica la explotación de CVE-2026-116606 como activa |
| No | Exploit público | elhacker.NET no menciona código de explotación ni prueba de concepto publicada. |
| Sí | En remoto, sin credenciales | CVSSCVE-2026-116606: CVSS 9.3 – por red, sin privilegios, sin interacción del usuario |
| Sí | Compromiso total | CVSSCVE-2026-116606: CVSS califica como alto el impacto en confidencialidad e integridad |
| No | Secretos expuestos | elhacker.NET no informa de robo de credenciales, datos o configuraciones. |
| No | Cadena de suministro | elhacker.NET describe explotación de fallos, no compromiso de paquetes, actualizaciones o firmas. |
| No | Aún sin corrección | elhacker.NET no indica que exista una corrección disponible ni que falte una. |
El registro oficial
De CVE.org, el catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA, FIRST EPSS y la GitHub Advisory Database. Cuando responden un hecho de la checklist, pesan más que las notas.
CVE-2026-116606 ↗CVSS 9.3 critical AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Authentication Bypass Allows Global Configuration Restore in Barracuda Email Security Gateway
- Explotado
- CISA califica la explotación como activa
- EPSS
- 1.6% de probabilidad de explotación en los próximos 30 días · más alta que el 76% de todos los CVE
- Debilidad
- CWE-288
Cronología
Barracuda confirma la explotación activa de fallos en su Email Security Gateway
Blog elhacker.NET
Barracuda confirma explotación de fallos en gateway de correo con acceso root
Fuente
Barracuda confirma explotación de fallos en gateway de correo con acceso root ↗ Blog elhacker.NET · hace 11 h
Visto por primera vez · 1 fuente · La noticia completa · Cómo se deciden los niveles