A empresa de cibersegurança Barracuda Networks alertou os clientes para aplicar patches em duas vulnerabilidades que podem permitir a execução de comandos com privilégios de superusuário.
A primeira é uma falha crítica (
CVE-2026-116606
) de autenticação no Email Security Gateway (ESG), que pode ser explorada para alterar a configuração global do dispositivo. A segunda (
CVE-2026-111560
) permite que agentes maliciosos com privilégios de administrador injetem comandos do sistema operacional executados com privilégios de superusuário.
A Barracuda informou, porém, que a exploração bem-sucedida também exige acesso às interfaces administrativas dos dispositivos visados. Para reduzir a exposição, a empresa recomendou o uso de controles adequados de acesso à rede e a restrição do acesso a redes internas confiáveis.
“Para explorar com sucesso uma vulnerabilidade, o atacante precisa ter acesso à interface administrativa de um produto afetado. Se exploradas em conjunto, as falhas podem permitir que um atacante contorne controles de autorização e obtenha acesso de superusuário ao dispositivo”, explicou a empresa.
“A Barracuda iniciou imediatamente um amplo processo de correção e lançou patches de segurança para os produtos afetados. Os clientes devem consultar a lista de produtos vulneráveis e as orientações de correção, garantir que seus sistemas estejam usando a versão mais recente do firmware e aplicar todos os patches de segurança.”
A tabela a seguir reúne a lista completa dos dispositivos afetados e dos patches de segurança disponíveis.
Há três anos, a Barracuda também corrigiu uma falha no Email Security Gateway (
CVE-2023-7102
), explorada pelo grupo de hackers UNC4841 em ataques zero-day para executar código arbitrário em dispositivos sem patch.
No mesmo ano, hackers do UNC4841 exploraram outra vulnerabilidade zero-day (
CVE-2023-2868
) para atacar dispositivos Barracuda ESG em campanhas de ciberespionagem.
Mais tarde, a Barracuda revelou que a falha havia sido explorada por pelo menos sete meses, desde outubro de 2022, para instalar os malwares até então desconhecidos SeaSpy e Saltwater e roubar dados de sistemas comprometidos.
Segundo a empresa de cibersegurança Mandiant, quase um terço dos dispositivos invadidos na campanha de 2023 pertencia a órgãos governamentais de vários países. A maioria das invasões ocorreu entre outubro e dezembro de 2022.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...