Barracuda confirma exploração ativa de duas falhas no Email Security Gateway, incluindo execução de comandos como root

A Barracuda Networks avisou que duas vulnerabilidades no Email Security Gateway (ESG), CVE-2026-116606 e CVE-2026-111560, já estão sendo exploradas. Os patches saíram uma semana antes do alerta. A primeira falha é uma fragilidade de autenticação que permite modificar a configuração global do appliance. A segunda deixa atacantes não autenticados injetarem comandos do sistema operacional, executados como root.

Segundo a empresa, a exploração exige acesso à interface administrativa (Admin UI). Combinadas, as falhas permitem contornar controles de autorização e obter root no dispositivo. Na noite de segunda-feira, a Barracuda atualizou o aviso inicial e disse ter identificado exploração contra um número pequeno de organizações. Quem não recebeu o patch automático deve aplicá-lo manualmente o quanto antes, e quem desativou as atualizações automáticas deve reativá-las. A recomendação de rede é restringir o acesso a redes internas confiáveis e usar controles de acesso adequados.

O ESG já foi alvo antes. Em 2023, o grupo UNC4841 explorou a CVE-2023-7102 como zero-day para executar código arbitrário. No mesmo ano, abusou da CVE-2023-2868, usada por pelo menos sete meses, desde ao menos outubro de 2022, para instalar os malwares SeaSpy e Saltwater e roubar dados. A Mandiant apontou que quase um terço dos sistemas invadidos naquela campanha era de órgãos governamentais.

Para quem opera ESG, a leitura prática é direta: confirmar que o patch foi aplicado e tirar o Admin UI da internet pública. A exigência de acesso ao console reduz a superfície, mas só enquanto ele estiver isolado. Appliances de e-mail ficam na borda e guardam tráfego sensível, e o histórico de 2023 mostra que esse tipo de equipamento atrai atacantes persistentes. Vale revisar também a configuração global do appliance, já que uma das falhas permite alterá-la.