Monitoramento cibernético da Top-Secured: análise independente baseada nas fontes citadas abaixo. A Top-Secured não é afiliada às empresas mencionadas e nunca pedirá seus dados bancários nem suas senhas.
A Barracuda informa que duas falhas, combinadas, dão acesso root aos seus Email Security Gateway e estão sendo exploradas. Uma delas também afeta WAF, balanceadores de carga, arquivadores e gateways web. A CISA incluiu ambas no seu catálogo de vulnerabilidades exploradas em 10 de novembro.
O que aconteceu
Em 2 de novembro de 2026, a Barracuda publicou um alerta sobre duas vulnerabilidades, divulgadas no mesmo dia pela Mandiant. Na noite de 9 de novembro, a fabricante o atualizou: identificou atividade de exploração afetando um pequeno número de organizações. No dia seguinte, a CISA incluiu as duas falhas no catálogo KEV, com prazo até 13 de novembro para as agências federais dos EUA.
- CVE-2026-116606 (CVSS 9.3), apenas no Email Security Gateway (ESG): sem autenticação, um atacante que consiga acessar a interface de administração pode chamar a função de importação de configuração e restaurar um backup manipulado, reescrevendo as configurações do equipamento.
- CVE-2026-111560 (CVSS 8.6): um administrador pode injetar comandos do sistema pelo campo de fuso horário, executados como root. São afetados ESG, Load Balancer ADC, Web Application Firewall, Message Archiver, Web Security Gateway e WAF Control Center.
Quem está em risco
Encadeadas, as duas falhas permitem passar de nenhuma conta a root no equipamento, segundo a Barracuda. Os aparelhos com a interface de administração acessível pela internet são os mais expostos. Segundo a Mandiant, estão afetados, entre outros, ESG até 9.4.0.27, ADC até 6.4.0, WAF até 11.0.1, Message Archiver até 5.5.4.0, Web Security Gateway até 16.1.100.100 e WAF Control Center até 2.2.1.
O que fazer agora
- Verifique o status das correções na interface de cada equipamento: a Barracuda normalmente as aplica de forma automática (no ESG, BNSF-40425 ou BNSF-40430 conforme o firmware). Se estiver faltando, instale manualmente e reative as atualizações automáticas.
- Atualize firmwares antigos: um equipamento várias versões atrás pode exigir várias atualizações em sequência.
- Feche a interface de administração para a internet: só redes internas ou VPN, e confirme de uma conexão externa que a página não responde mais.
- Procure rastros: alterações ou restaurações de configuração inesperadas, valores estranhos no fuso horário, contas de administrador desconhecidas.
- Em caso de dúvida, contate o suporte da Barracuda e troque todas as credenciais armazenadas no equipamento (contas de diretório, relays SMTP, certificados).
Nossa análise
Um equipamento de segurança é um servidor, com uma página de administração que nunca deveria ficar exposta na internet. As correções automáticas são uma grande vantagem, desde que alguém confira se foram de fato aplicadas. Um gateway de e-mail vê passar toda a sua correspondência: trate-o como um servidor crítico.
Fontes
- Barracuda — Pre-Authentication Authorization Bypass and Command Injection Vulnerabilities in Certain Barracuda Products
- CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-116606 (Barracuda ESG)
- Mandiant — MNDT-2026-0042: Barracuda ESG authentication bypass (CVE-2026-116606)
- Mandiant — MNDT-2026-0041: Barracuda command injection (CVE-2026-111560)
Como escolhemos, verificamos e escrevemos nossas análises →
O seu próprio servidor está exposto? Faça um teste gratuito — apenas informações públicas, sem intrusão:
Preocupado com a exposição dos seus servidores? Nossa equipe audita, corrige e monitora infraestruturas Linux e cloud 24/7.
Fale com um especialista Nossos serviços de gestão de servidores →
