A Barracuda divulgou duas vulnerabilidades que afetam seus produtos e que podem ser encadeadas para contornar os controles de autorização e obter acesso root a um dispositivo vulnerável. As falhas são um desvio de autorização pré-autenticação, identificado como CVE-2026-116606 e com nota 9,3, e uma vulnerabilidade de injeção de comandos, CVE-2026-111560, com nota 8,6.
A CVE-2026-116606 afeta o Email Security Gateway. A CVE-2026-111560 afeta o Email Security Gateway, o Load Balancer Application Delivery Controller, o Message Archiver, o WAF Control Center, o Web Application Firewall e o Web Security Gateway.
A Barracuda informou que, para explorar as falhas com sucesso, é necessário ter acesso à interface administrativa de um produto afetado. Quando usadas em conjunto, as vulnerabilidades podem permitir que um invasor contorne os controles de autorização e obtenha acesso root ao dispositivo.
A empresa afirmou que os dispositivos cujas interfaces administrativas não estão expostas à internet são menos vulneráveis a essa cadeia de ataque. Ela recomenda limitar o acesso administrativo a redes internas confiáveis e usar controles de acesso à rede para reduzir a exposição.
A Barracuda também aconselhou os clientes a verificar se seus sistemas estão executando o firmware mais recente e receberam todas as correções de segurança. Dispositivos que estejam várias versões de firmware atrasados podem exigir mais de uma atualização.
Fontes: The Hacker News.