CVE-2026-116606
Segundo a Barracuda, CVE-2026-116606 é uma vulnerabilidade de autenticação pré-autenticada que permite alterar a configuração global do appliance. Ela afeta apenas o Email Security Gateway (ESG). A Barracuda descreveu essa vulnerabilidade como um bypass de autorização pré-autenticada, com um CVSS de 9.3.
CVE-2026-111560
CVE-2026-111560 é uma injeção de comandos do sistema operacional. Permite que um administrador execute comandos como root. Ela afeta o Load Balancer Application Delivery Controller (ADC) e outros produtos da Barracuda, além do ESG. O CVSS de CVE-2026-111560 é de 8.6.
Como o Encadeamento Funciona
Se as duas vulnerabilidades forem exploradas em conjunto, um atacante pode contornar os controles de autorização e obter root no dispositivo. A primeira vulnerabilidade dá acesso a alterações de configuração sem as permissões devidas, enquanto a segunda transforma permissões de administrador em execução de comandos como root.
Divergência entre as Fontes
O BleepingComputer chama CVE-2026-116606 de uma fraqueza de autenticação no ESG, enquanto o The Hacker News a chama de bypass de autorização pré-autenticada. A Barracuda descreveu a CVE-2026-116606 como uma fraqueza de autenticação no ESG.
Por Que Vale a Nota
O ESG já teve problemas de segurança em 2023, como CVE-2023-2868 e CVE-2023-7102, que foram usados por grupos de espionagem. A CVE-2026-116606 também afeta o ESG, e a Barracuda alerta que organizações que não expõem a interface administrativa à internet ficam menos vulneráveis a esse caminho de ataque.
O que Checar e Fazer
Inventário
Liste quais appliances Barracuda você tem (ESG, Load Balancer ADC e outros) e compare com a tabela de produtos afetados no aviso da Barracuda.
Firmware
Confirme na interface do appliance que a versão instalada é a mais recente e que todos os patches de segurança foram aplicados.
Atualizações em Sequência
Se o firmware estiver várias versões atrás, pode ser preciso fazer mais de uma atualização. Planeje a janela de manutenção considerando isso.
Exposição da Interface Administrativa
Verifique no firewall e na configuração de rede se a interface de administração é alcançável da internet ou de segmentos não confiáveis. A recomendação da Barracuda é restringir esse acesso a redes internas confiáveis e usar controles de acesso de rede adequados.
Revisão de Configuração do ESG
Como a CVE-2026-116606 permite alterar a configuração global, vale comparar a configuração atual com a última conhecida como boa. Isso é uma precaução minha, não uma orientação das matérias.