Agentes de ameaça começaram a explorar duas vulnerabilidades da Barracuda corrigidas recentemente, que podem ser combinadas para contornar controles de autorização e obter acesso root.
Registrada como CVE-2026-116606 (CVSS, sistema de pontuação de severidade de vulnerabilidades, com nota 9,3), a primeira falha é descrita como um contorno de autenticação no Barracuda Email Security Gateway (ESG, gateway de segurança de e-mail).
Um invasor com acesso à interface de administração (Admin UI) poderia acioná-la para restaurar um arquivo de backup manipulado e modificar a configuração do equipamento.
A segunda falha, CVE-2026-111560 (nota CVSS de 8,6), é uma fraqueza de injeção de comandos que afeta o Barracuda ESG, o Load Balancer Application Delivery Controller (ADC, controlador de entrega de aplicações com balanceamento de carga), o Web Application Firewall (WAF, firewall de aplicações web), o Web Security Gateway (WSG, gateway de segurança web), o Message Archiver (BMA, arquivador de mensagens) e o WAF Control Center (WCC, central de controle de WAF).
Um atacante com acesso administrativo a um equipamento vulnerável poderia explorar a falha para injetar comandos do sistema operacional (OS) que seriam executados com privilégios de root.
“Se exploradas em conjunto, essas vulnerabilidades podem permitir que um atacante contorne os controles de autorização e obtenha acesso root ao dispositivo”, afirmou a Barracuda em 2 de novembro.
Uma semana depois, a empresa atualizou seu comunicado para alertar que agentes de ameaça vêm explorando as duas falhas contra um pequeno número de organizações.
Na terça-feira, a agência de segurança cibernética dos EUA, a CISA, incluiu as CVE-2026-116606 e CVE-2026-111560 em seu catálogo de Vulnerabilidades Conhecidas e Exploradas (KEV, sigla de Known Exploited Vulnerabilities), e orientou as agências federais a corrigi-las em até três dias, conforme determina a BOD 26-04 (diretiva operacional vinculante).
A Barracuda e a CISA não divulgaram detalhes sobre a exploração, mas a empresa de segurança cibernética Previdian registrou 17 tentativas direcionadas à CVE-2026-116606 entre 9 e 11 de novembro. As ações partiram de 15 endereços IP (Protocolo de Internet) em três países.
Todas as organizações são aconselhadas a atualizar seus produtos Barracuda o quanto antes e a garantir que suas interfaces administrativas não estejam expostas à internet. O acesso a elas deve ser restrito apenas a redes internas confiáveis.
