Si tu correo pasa por un Barracuda Email Security Gateway (ESG) antes de llegar a Microsoft 365, Google Workspace o tu servidor propio, este viernes es el día para confirmar que tiene el parche. Hoy, 13 de noviembre de 2026, vence el plazo que CISA fijó a las dependencias federales de EE. UU. para corregir dos fallas de Barracuda que ya se están explotando y que, encadenadas, permiten tomar el equipo como root.
El aviso de Barracuda salió el 2 de noviembre; el 9 de noviembre lo actualizó para reportar ataques, y el 10 de noviembre CISA metió ambas fallas a su catálogo de vulnerabilidades explotadas (KEV) con apenas tres días de plazo. Si nadie en tu empresa o en tu proveedor lo revisó esta semana, hazlo antes del fin de semana.
Las dos fallas
| Dato | CVE-2026-116606 | CVE-2026-111560 |
|---|---|---|
| Tipo | Evasión de autenticación por una ruta alterna (CWE-288) | Inyección de comandos del sistema (CWE-78) |
| Qué permite | Sin credenciales, invocar la función de importar configuración y restaurar un respaldo manipulado, cambiando la configuración global del equipo | A un administrador, meter comandos en el campo de zona horaria que se ejecutan como root |
| Severidad (CVSS 4.0) | 9.3 | 8.6 |
| Equipos | Solo ESG | ESG, Load Balancer ADC, WAF, WAF Control Center, Web Security Gateway y Message Archiver |
| KEV de CISA | Agregada el 10 de noviembre; plazo 13 de noviembre | Agregada el 10 de noviembre; plazo 13 de noviembre |
La primera, por sí sola, ya es grave: un atacante que alcance la consola de administración puede reescribir la configuración del filtro. Pero el catálogo de CISA lo dice explícito: las dos se pueden encadenar. Con la primera el atacante deja el equipo configurado a su gusto; con la segunda, ya como administrador, ejecuta comandos con el máximo privilegio. El resultado práctico es el control total del equipo que ve todo tu correo entrante y saliente.
Las fallas las documentó Mandiant (avisos MNDT-2026-0041 y MNDT-2026-0042), con fecha de reporte a Barracuda del 15 y del 22 de octubre, y publicación el 2 de noviembre.
Versiones y parches
Barracuda publica un parche por línea de producto:
| Producto | Parche | Afectado según Mandiant |
|---|---|---|
| Email Security Gateway (firmware 9.4.017 o posterior) | BNSF-40425 | Hasta 9.4.0.27 |
| Email Security Gateway (firmware anterior a 9.4.017) | BNSF-40430 | Hasta 9.4.0.27 |
| Load Balancer ADC | BNADC-16586 | Hasta 6.4.0 |
| Web Application Firewall | BNADC-16586 | Hasta 11.0.1 |
| WAF Control Center | BNWF-60060 | Hasta 2.2.1 |
| Web Security Gateway | BNYF-24789 | Hasta 16.1.100.100 |
| Message Archiver | BNMA-32468 | Hasta 5.5.4.0 |
Un detalle para tu proveedor: Barracuda y Mandiant escriben las versiones del ESG de forma distinta (Barracuda habla de "9.4.017"; Mandiant, de "9.4.0.27" en un aviso y de "anteriores a 9.4.0.030" en el otro). No te quedes con el número: confirma en la consola que el parche BNSF-40425 o BNSF-40430 aparece como instalado. Barracuda advierte que, si el equipo trae varias versiones de atraso, puede requerir más de una actualización y que hay que aplicar a mano lo que no se instaló solo.
El aviso no menciona el servicio en la nube Email Protection; habla de los equipos.
Qué hacer hoy
- Inventario. Pregunta a tu área de sistemas o a tu proveedor si tienen ESG, WAF, ADC, Web Security Gateway o Message Archiver de Barracuda, físico o virtual. Muchas pymes los heredaron de un proyecto viejo y nadie los revisa.
- Parcha y confirma. Aplica el parche de la tabla y verifica en la consola que quedó instalado.
- Cierra la consola. Barracuda recomienda que la interfaz de administración solo sea accesible desde redes internas confiables. Es la misma lección que vimos hoy en la mañana con las consolas de SonicWall GMS y Cisco FMC: si la consola se ve desde internet, el día que salga una falla ya llegaste tarde. Una regla en el firewall de tu red resuelve la mayor parte.
- Busca señales. Barracuda no publicó indicadores de compromiso. Revisa al menos: cambios de configuración que nadie pidió, reglas de reenvío o listas blancas nuevas, cuentas de administrador desconocidas, cambios en la zona horaria del equipo e importaciones de configuración recientes. Si encuentras algo, trata el equipo como comprometido: respaldo de evidencia, reinstalación desde cero y cambio de todas las contraseñas que pasaron por él.
- Avisa a tu equipo. Si el filtro estuvo comprometido, el atacante pudo leer correos con facturas, datos bancarios de proveedores y contraseñas de restablecimiento. Pide a cobranza y pagos que confirmen por teléfono cualquier cambio de cuenta bancaria en las próximas semanas.
Un filtro de correo comprometido es un caso parecido al que vimos con Zimbra en octubre: el atacante se instala justo donde pasa la información más sensible de la empresa. Si además no tienes un respaldo fuera de línea de tu configuración y tus buzones, este tutorial de respaldos contra ransomware es buen punto de partida.
Fuentes: aviso de seguridad de Barracuda "Pre-Authentication Authorization Bypass and Command Injection Vulnerabilities in Certain Barracuda Products" (2 de noviembre, actualizado el 5 y el 9 de noviembre de 2026); avisos MNDT-2026-0041 y MNDT-2026-0042 de Mandiant; catálogo KEV de CISA (versión 2026.11.13).
Seguridad del correo
Que el filtro de correo no sea la puerta de entrada
Inventariamos tus equipos de seguridad, aplicamos parches, cerramos consolas expuestas y revisamos si hubo intrusión, con un reporte claro para dirección.
