Barracuda: inyección de comandos CVE-2026-111560 ya explotada

Barracuda: inyección de comandos CVE-2026-111560 ya explotada

Qué es y a quién afectaEl CVE-2026-111560 es una vulnerabilidad de inyección de comandos del sistema operativo (CWE-78) que afecta a varios productos...

Qué es y a quién afecta

El CVE-2026-111560 es una vulnerabilidad de inyección de comandos del sistema operativo (CWE-78) que afecta a varios productos de Barracuda Networks: Email Security Gateway (ESG), Load Balancer, Application Delivery Controller (ADC), Message Archiver (BMA), WAF Control Center (WCC), Web Application Firewall (WAF) y Web Security Gateway (WSG). El fallo está publicado en la NVD del NIST desde el 2 de noviembre de 2026 y tiene una gravedad alta, con una puntuación CVSS 4.0 de 8.6.

La causa está en el campo de configuración de la zona horaria de estos appliances, que comparten código común de Barracuda. Según la descripción oficial, un administrador autenticado puede inyectar comandos que se ejecutan con privilegios de root cuando el valor manipulado de la zona horaria se procesa después. Es decir, no se trata de un acceso anónimo desde internet, sino de un fallo que permite escalar desde una cuenta de administrador hasta el control total del sistema. Además, el aviso indica que puede encadenarse con otra vulnerabilidad, el CVE-2026-116606.

Esto importa especialmente a pymes, comercios online y equipos de IT pequeños que tienen un appliance Barracuda como puerta de entrada del correo o del tráfico web. Son dispositivos expuestos a internet por diseño y, a menudo, con pocas personas pendientes de su mantenimiento.

Por qué es urgente

No estamos ante un fallo teórico. La vulnerabilidad ya se explota en ataques reales: CISA la añadió el 10 de noviembre de 2026 a su catálogo de vulnerabilidades explotadas, el conocido como KEV (Known Exploited Vulnerabilities). Ese catálogo recoge solo fallos con evidencia de explotación activa, y la inclusión obliga a las agencias federales de Estados Unidos a corregirla antes del 13 de noviembre de 2026.

Ese plazo de apenas tres días da una idea de la prioridad que CISA asigna al problema. La instrucción oficial no se limita a actualizar: pide aplicar las mitigaciones según las indicaciones del fabricante, seguir la guía BOD 26-04 sobre priorización de actualizaciones de seguridad, cumplir los requisitos de triaje forense y, si no hay mitigación disponible para un servicio en la nube, dejar de usar el producto. También recuerda que cada organización debe evaluar la exposición a internet de sus activos.

En el material consultado no consta que esta vulnerabilidad se haya usado en campañas de ransomware. Eso no la hace menos grave: una inyección de comandos con privilegios de root en un dispositivo perimetral es una vía directa para moverse por la red interna.

Qué hacer hoy

  • Comprobar si usamos el producto y en qué versión. Revisad el inventario de appliances Barracuda y confirmad cuáles son ESG, Load Balancer, ADC, BMA, WCC, WAF o WSG. Anotad la versión exacta de cada uno.
  • Aplicar la actualización o mitigación del aviso del fabricante. Consultad el aviso oficial de Barracuda en trust.barracuda.com y seguid sus instrucciones al pie de la letra. El material no detalla qué versión corrige el fallo, así que hay que guiarse por lo que indique el fabricante y no por suposiciones.
  • Revisar indicios de intrusión. Al tratarse de un fallo que requiere una cuenta de administrador, conviene auditar los accesos administrativos recientes, los cambios de configuración de zona horaria y cualquier actividad anómala en los appliances. Si hay dudas, lo prudente es tratar el dispositivo como potencialmente comprometido.
  • Reducir lo expuesto a internet. Limitar el acceso a las interfaces de administración a redes de confianza o VPN, revisar las cuentas con privilegios y activar la autenticación multifactor donde el producto lo permita.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes y comercios online que no pueden dedicar a la seguridad un departamento completo. Ante un aviso como este, lo primero es saber con certeza qué tenemos: una auditoría de seguridad y un inventario de activos permiten identificar los appliances Barracuda, sus versiones y su nivel de exposición a internet.

A partir de ahí, aplicamos hardening de servidores y de los paneles de administración, gestionamos los parches de seguridad de forma ordenada y hacemos seguimiento de las vulnerabilidades que afectan a vuestro stack, incluidos WordPress, PrestaShop y Joomla. Cuando hay sospecha de intrusión, la monitorización y la respuesta a incidentes marcan la diferencia entre un susto y un problema serio. Y si la web o el servidor ya han sido comprometidos, nos encargamos de la reparación y de cerrar la puerta que se dejó abierta.

La lección de CVE-2026-111560 es sencilla: los dispositivos de seguridad también necesitan mantenimiento. Tener un plan claro de actualización y respuesta evita que un plazo de tres días se convierta en una carrera contra el reloj.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.