A Barracuda divulgou detalhes de duas vulnerabilidades que afetam seus produtos e que, se combinadas, podem permitir que um invasor contorne controles de autorização e obtenha acesso root (usuário com privilégios administrativos totais) a um dispositivo vulnerável.
As vulnerabilidades, uma de bypass de autorização pré-autenticação e outra de injeção de comandos, receberam os identificadores CVE-2026-116606 (CVE, sigla em inglês para Common Vulnerabilities and Exposures, ou “vulnerabilidades e exposições comuns”), com pontuação CVSS de 9,3 (CVSS, sigla para Common Vulnerability Scoring System, sistema que mede a gravidade de falhas), e CVE-2026-111560, com pontuação CVSS de 8,6, respectivamente.
Enquanto a CVE-2026-116606 afeta apenas o Email Security Gateway, a CVE-2026-111560 atinge os seguintes produtos da Barracuda:
- Email Security Gateway
- Load Balancer Application Delivery Controller
- Message Archiver
- WAF Control Center
- Web Application Firewall
- Web Security Gateway
“A exploração bem-sucedida exige que o invasor tenha acesso à interface administrativa de um produto afetado”, afirmou a Barracuda, em seu comunicado. “Se exploradas em combinação, essas vulnerabilidades podem permitir que um invasor contorne os controles de autorização e obtenha acesso root ao dispositivo.”
A empresa afirmou que organizações que não expõem suas interfaces administrativas à internet estão menos vulneráveis a esse caminho de ataque e orientou os clientes a seguir os passos abaixo:
- Restringir o acesso às interfaces administrativas a redes internas confiáveis
- Usar controles de acesso à rede adequados para limitar a exposição
“Os clientes que utilizam esses produtos devem verificar se seus sistemas estão com as versões mais recentes do firmware e se receberam todos os patches de segurança”, acrescentou a empresa. “Se o firmware de um dispositivo estiver várias versões desatualizado, os clientes podem precisar realizar mais de uma atualização.”
