Barracuda confirma exploração de duas vulnerabilidades

A Barracuda confirmou a exploração ativa de duas vulnerabilidades de segurança que afetam diferentes produtos da fabricante e que, quando combinadas, podem permitir aos atacantes contornar mecanismos de autorização e obter acesso aos equipamentos com privilégios de root.

As falhas, identificadas como CVE-2026-116606 e CVE-2026-111560, foram recentemente corrigidas pela empresa, mas já estão a ser utilizadas em ataques contra um número reduzido de organizações.

A primeira vulnerabilidade, CVE-2026-116606, apresenta uma classificação de gravidade de 9,3 na escala CVSS e afeta o Barracuda Email Security Gateway (ESG). Trata-se de uma falha que permite contornar mecanismos de autenticação através da interface de administração do equipamento.

Um atacante com acesso a esta interface pode explorar a vulnerabilidade para restaurar um ficheiro de cópia de segurança especialmente preparado, conseguindo alterar a configuração do sistema.

A segunda falha, CVE-2026-111560, tem uma classificação CVSS de 8,6 e resulta de uma vulnerabilidade de injeção de comandos.

O problema afeta vários produtos da Barracuda, incluindo Email Security Gateway (ESG), Load Balancer Application Delivery Controller (ADC), Web Application Firewall (WAF), Web Security Gateway (WSG), Message Archiver (BMA) e WAF Control Center (WCC).

Segundo a fabricante, um atacante que consiga obter acesso administrativo a um equipamento vulnerável pode explorar esta falha para executar comandos do sistema operativo com privilégios de root, o nível mais elevado de permissões.

A combinação das duas vulnerabilidades aumenta o risco de comprometimento dos equipamentos, uma vez que permite ultrapassar controlos de autorização e alcançar privilégios elevados.

Num aviso divulgado a 2 de novembro, a Barracuda alertou para esta possibilidade. Uma semana depois, atualizou o boletim de segurança para confirmar que as vulnerabilidades estavam a ser exploradas em ataques reais.

A empresa não revelou detalhes sobre as organizações afetadas, os métodos utilizados pelos atacantes ou as consequências dos incidentes identificados.

Entretanto, a Cybersecurity and Infrastructure Security Agency (CISA), dos Estados Unidos, adicionou ambas as vulnerabilidades ao catálogo Known Exploited Vulnerabilities (KEV), que reúne falhas de segurança cuja exploração ativa foi confirmada.

A inclusão no catálogo obriga as agências federais norte-americanas abrangidas pela diretiva BOD 26-04 a aplicar as correções no prazo de três dias, refletindo a urgência atribuída às vulnerabilidades.

Embora a Barracuda e a CISA não tenham divulgado indicadores técnicos detalhados sobre os ataques, a empresa de Cibersegurança Previdian identificou 17 tentativas de exploração da CVE-2026-116606 entre 9 e 11 de novembro.

De acordo com a empresa, estas tentativas tiveram origem em 15 endereços IP distribuídos por três países.

Perante a confirmação de exploração ativa, as organizações que utilizam produtos Barracuda são aconselhadas a instalar imediatamente as atualizações de segurança disponibilizadas pela fabricante.

As recomendações incluem também a verificação da exposição das interfaces de administração à Internet. O acesso a estas interfaces deve ser limitado a redes internas consideradas de confiança, reduzindo as oportunidades de exploração remota.

A situação reforça os riscos associados à exposição de interfaces administrativas de equipamentos de segurança, sobretudo quando vulnerabilidades distintas podem ser combinadas para permitir o controlo dos sistemas com privilégios elevados.