Barracuda ha divulgado dos vulnerabilidades que afectan a sus productos y que podrían encadenarse para eludir los controles de autorización y obtener acceso root a un dispositivo vulnerable. Los fallos son una elusión de autorización previa a la autenticación, identificada como CVE-2026-116606 y con una puntuación de 9.3, y una vulnerabilidad de inyección de comandos, CVE-2026-111560, con una puntuación de 8.6.
CVE-2026-116606 afecta a Email Security Gateway. CVE-2026-111560 afecta a Email Security Gateway, Load Balancer Application Delivery Controller, Message Archiver, WAF Control Center, Web Application Firewall y Web Security Gateway.
Barracuda indicó que la explotación exitosa requiere acceso a la interfaz administrativa de un producto afectado. Si se utilizan conjuntamente, las vulnerabilidades podrían permitir que un atacante eluda los controles de autorización y obtenga acceso root al dispositivo.
La empresa señaló que los dispositivos cuyas interfaces administrativas no están expuestas a internet son menos vulnerables a esta vía de ataque. Recomienda limitar el acceso administrativo a redes internas de confianza y utilizar controles de acceso a la red para reducir la exposición.
Barracuda también aconsejó a sus clientes comprobar que sus sistemas ejecuten el firmware más reciente y hayan recibido todos los parches de seguridad. Los dispositivos que estén varias versiones de firmware atrasados podrían necesitar más de una actualización.
Fuentes: The Hacker News.