Saltar al contenido
Acceso clientes Agendar
CVE-2026-111560 Triaje forense requerido por CISA Nueva

Vulnerabilidad de inyección de comandos del sistema operativo en varios productos de Barracuda Networks

Barracuda Networks · Multiple Products · Agregada al catálogo el 10-11-2026 · Última actualización: 10-11-2026

Parchar esta semana

Riesgo concreto: planifica el parche dentro de los próximos días.

Por qué esta prioridad
  • CISA confirma que se está explotando
  • Gravedad alta (CVSS 8,6)

Regla de 8Layer inspirada en el árbol de decisión SSVC de CISA: usa la explotación confirmada (CISA KEV), la evaluación SSVC de CISA, la gravedad CVSS y la probabilidad EPSS de FIRST. No reemplaza tu propia evaluación: considera si el producto está expuesto a internet en tu organización.

Descripción

Barracuda Networks Email Security Gateway (ESG), Load Balancer, Application Delivery Controller (ADC), Message Archiver (BMA), WAF Control Center (WCC), Web Application Firewall (WAF) y Web Security Gateway (WSG) contienen una vulnerabilidad de inyección de comandos del sistema operativo. Esta vulnerabilidad podría permitir que un administrador autenticado inyecte comandos del sistema operativo que se ejecutan con privilegios de root cuando el valor de zona horaria especialmente manipulado se procesa posteriormente. Esta vulnerabilidad puede encadenarse con CVE-2026-116606

Acción recomendada

Aplicar las mitigaciones del fabricante y revisar los equipos afectados en busca de señales de compromiso (triaje forense) antes de darlos por remediados. Evaluar la exposición a internet de cada activo para priorizar la aplicación de parches. En servicios en la nube, seguir las recomendaciones de seguridad del proveedor; si no hay mitigaciones disponibles, discontinuar el uso del producto.

Referencia de CISA para agencias federales de EE. UU.: BOD 26-04.

Versiones afectadas

  • Barracuda Email Security Gateway (ESG) Afectadas: hasta 9.4.0.27
  • Barracuda Load Balancer Application Delivery Controller (ADC) Afectadas: hasta 6.4.0
  • Barracuda Web Application Firewall (WAF) Afectadas: hasta 11.0.1
  • Barracuda Web Security Gateway (WSG) Afectadas: hasta 16.1.100.100
  • Barracuda Message Archiver (BMA) Afectadas: hasta 5.5.4.0
  • Barracuda WAF Control Center (WCC) Afectadas: hasta 2.2.1

Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.

MITRE ATT&CK

Estimado por 8Layer

Cómo encaja esta vulnerabilidad en un ataque, según el marco MITRE ATT&CK, y qué medidas lo frenan.

MITRE ATT&CK® y ATT&CK® son marcas registradas de The MITRE Corporation. © 2026 The MITRE Corporation. This work is reproduced and distributed with the permission of The MITRE Corporation. Nombres traducidos por 8Layer.

Referencias

Más referencias (CVE.org)

Ver el texto original en inglés (CISA)

Barracuda Networks Multiple Products OS Command Injection Vulnerability

Barracuda Networks Email Security Gateway (ESG), Load Balancer, Application Delivery Controller (ADC), Message Archiver (BMA), WAF Control Center (WCC), Web Application Firewall (WAF), and Web Security Gateway (WSG) contain an OS command injection vulnerability. This vulnerability could allow an authenticated administrator to inject OS commands that execute with root privileges when the crafted timezone value is subsequently processed. This vulnerability can be chained with CVE-2026-116606

Required action: Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Notes: https://trust.barracuda.com/security/pre-authentication-authorization-bypass-command-injection ; https://github.com/mandiant/Vulnerability-Disclosures/blob/master/2026/MNDT-2026-0041.md ; BOD 26-04: https://www.cisa.gov/news-events/directives/bod-26-04-prioritizing-security-updates-based-risk ; Forensics Triage Requirements: https://www.cisa.gov/news-events/directives/bod-26-04-implementation-guidance-prioritizing-security-updates-based-risk ; https://nvd.nist.gov/vuln/detail/CVE-2026-111560

Otras vulnerabilidades de Barracuda Networks en el catálogo

  • CVE-2026-116606 Vulnerabilidad de omisión de autenticación mediante una ruta o canal alternativo en Barracuda Networks Email Security Gateway (ESG) Alta 10-11-2026
  • CVE-2023-2868 Barracuda Networks ESG Appliance Improper Input Validation Vulnerability Alta 26-05-2023

Recibe el boletín cuando CISA agregue vulnerabilidades nuevas

Te escribimos solo cuando CISA agrega vulnerabilidades nuevas, ya traducidas: cada día que haya, o en un resumen los lunes. Confirmas por correo y te das de baja con un clic.

Frecuencia