Barracuda: dos fallos encadenados dan root sin login

Una cadena de fallos que convierte un filtro de correo en puerta trasera

La seguridad del correo electrónico vuelve a estar en el punto de mira. Según ha publicado The Hacker News, dos vulnerabilidades en Barracuda Email Security Gateway —el appliance que muchas empresas colocan delante de su servidor de correo para filtrar spam, phishing y malware— pueden encadenarse para ejecutar comandos en el equipo con privilegios de root, el nivel más alto de acceso, y sin necesidad de autenticarse previamente.

El fabricante publicó los parches el lunes y la firma de seguridad watchTowr detalló la cadena de ataque el jueves. Uno de los fallos, identificado como CVE-2026-116606, es un bypass de autorización que permite a un atacante no autenticado aprovechar una funcionalidad de restauración del propio dispositivo para colarse en él. A partir de ahí, la segunda pieza de la cadena completa el salto hasta la ejecución de comandos como root.

Por qué esto importa más de lo que parece

Un gateway de correo no es un servidor cualquiera. Está expuesto a Internet por diseño, porque necesita recibir el tráfico SMTP de todo el mundo, y se sitúa en una posición privilegiada: ve pasar todos los mensajes de la organización, conoce las direcciones internas y, en muchas configuraciones, se integra con el directorio corporativo. Si un atacante consigue root en ese equipo, no solo controla el filtro: puede leer correo, manipularlo, usar el dispositivo como trampolín hacia la red interna o desactivar silenciosamente las reglas de seguridad.

El patrón que describe watchTowr —un fallo de autorización que abre la puerta y un segundo fallo que escala privilegios— es cada vez más habitual. A los atacantes les basta con encadenar dos debilidades medianas para conseguir un impacto crítico. Y eso obliga a las pymes a cambiar la forma de mirar las actualizaciones: no basta con parchear lo que parece grave de forma aislada, hay que aplicar el paquete completo y rápido.

Qué significa para una pyme o un equipo de IT

• Riesgo real, no teórico: el dispositivo está expuesto y el fallo no requiere credenciales. Cualquier organización con un Barracuda ESG sin actualizar debería tratarlo como prioritario.
• El correo es el activo más sensible: perder el control del filtro antispam equivale a abrir la puerta a suplantaciones, fraude del CEO y exfiltración de información.
• La ventana entre parche y exploit público se acorta: entre el lunes y el jueves solo pasaron unos días. Quien no actualizó en ese margen quedó expuesto a una prueba de concepto pública.
• La cadena de suministro importa: los appliances de terceros concentran confianza. Si uno falla, arrastra a toda la organización.

Nuestras recomendaciones desde ForgeNEX

1. Actualiza ya el Barracuda ESG a la versión parcheada que indique el fabricante. Si no puedes hacerlo en las próximas horas, valora aislar el equipo o restringir el acceso a su interfaz de administración.
2. Revisa los registros del appliance en busca de accesos anómalos, restauraciones no programadas o cambios de configuración que nadie reconozca. La funcionalidad de restauración es la que aparece en la cadena descrita.
3. Limita la exposición: la administración del gateway no debería ser accesible desde cualquier IP. Segmenta y controla quién puede llegar a ella.
4. Establece un proceso de parcheo con plazos. Los fallos de autenticación en equipos perimetrales deberían tener un SLA de horas, no de semanas. En este blog ya hemos visto casos parecidos con OpenSSH y con Zyxel GS1900, donde el parche anterior no cerraba el problema real.
5. No confíes solo en el filtro: complementa con autenticación de correo (SPF, DKIM, DMARC), formación al empleado y detección en el endpoint. La defensa en profundidad sigue siendo la mejor póliza para una pyme.

La lección de fondo

Los equipos de seguridad de correo son objetivos de alto valor porque están en la frontera y manejan información sensible. La cadena de Barracuda demuestra que un fallo de autorización aparentemente menor puede convertirse en root si se combina con otra debilidad. Para un equipo de IT de pyme, la conclusión es clara: mantén inventariados los appliances perimetrales, conoce su versión, ten un plan de actualización y asume que el fabricante publicará un aviso urgente algún día. La diferencia entre un incidente y un susto suele estar en haber actuado en las primeras 24 horas.

Fuente: The Hacker News. Análisis y adaptación: ForgeNEX.