O seu gateway de email Barracuda pode já ter um intruso com acesso root

Os equipamentos Barracuda Email Security Gateway (ESG) ainda sem as correções de 2 de novembro estão a ser alvo de ataques reais, segundo a atualização que o fabricante fez ao seu aviso de segurança na noite de 9 de novembro. Em causa está uma cadeia de duas falhas, CVE-2026-116606 e CVE-2026-111560. O desfecho é o controlo total do equipamento, com privilégios de root, por quem nunca iniciou sessão, desde que consiga chegar por rede à interface de administração.

Duas falhas, um caminho sem palavra-passe

O aviso da Barracuda foi publicado a 2 de novembro. A primeira peça da cadeia, CVE-2026-116606, tem pontuação CVSS de 9,3, existe apenas no ESG e surge classificada como um contorno de autorização anterior à autenticação. A configuração global do equipamento fica à mercê de quem lhe consiga submeter uma cópia de segurança forjada: o registo CVE atribuído pela Mandiant situa o defeito na função de importação de configuração, acessível sem credenciais.

A segunda peça, CVE-2026-111560, é uma injeção de comandos que reside em código comum a vários equipamentos da marca. Vale 8,6 na escala CVSS e os comandos injetados correm como root. Isoladamente exige acesso administrativo. No ESG, a primeira falha elimina essa barreira.

A redação inicial do aviso gerou dúvidas sobre este ponto. Desde 5 de novembro, quem consulta o documento lê que a CVE-2026-116606 dispensa autenticação e exige apenas alcance à interface de administração; a versão original falava em acesso administrativo.

Como funciona a cadeia de ataque

Há uma reconstituição pública do ataque desde 5 de novembro, num relatório técnico da watchTowr Labs da autoria de Sina Kheirkhah. O relatório descreve os seguintes passos:

• Tudo começa num pedido POST sem sessão a /cgi-mod/index.cgi, com os campos new_password e retype_password propositadamente diferentes. O erro que se segue não interrompe o pedido, como seria de esperar: a execução prossegue com o perfil de baixo privilégio associado ao ecrã de login.
• Com esse perfil, o parâmetro pu_bayesian_upload serve de porta de entrada a um ficheiro que acaba em Barracuda::Backup2::restore_all, a rotina de restauro integral da configuração.
• A integridade do arquivo depende de um MD5 calculado com um segredo fixo embutido no código, pelo que a soma de verificação pode ser reproduzida por terceiros.
• O alvo é a linha system_timezone da base de dados local: o arquivo forjado transporta um dump MySQL e é o próprio restauro, através do componente Spam_Config, que lá coloca o valor escolhido pelo atacante.
• Esse valor chega sem validação a comandos sed montados com backticks de Perl em Backup2.pm e fix_tz.pl. A execução acontece no fecho do restauro, em finalize_restore.

Produtos e versões afetadas

Quanto ao número exato da versão corrigida do ESG, as fontes não coincidem totalmente. O limiar que consta do registo da Mandiant é a versão 9.4.0.030, abaixo da qual o equipamento é vulnerável. Já a tabela da watchTowr aponta a 9.4.0.029 como corrigida e a 9.4.0.027 como a versão vulnerável testada. O aviso do fabricante, por seu lado, identifica a correção pelo código do patch e pela gama de firmware, sem indicar um único número de compilação final. Em caso de dúvida, o critério mais seguro é confirmar a instalação do patch correspondente.

Cronologia

Exploração ativa e pistas de deteção

Os ataques conhecidos atingem, pelas contas do próprio fabricante, um número reduzido de organizações. Automatizável e de impacto técnico total: são estes os atributos que acompanham a CVE-2026-116606 no enriquecimento da CISA ao registo CVE.

Quem procurava hashes, endereços IP ou domínios para caçar a intrusão não os encontrava, nos primeiros dias, nos documentos da Barracuda e da Mandiant. Não foi possível confirmar se a atualização de 9 de novembro acrescentou indicadores de comprometimento (IOCs) oficiais. As pistas abaixo decorrem do mecanismo descrito na análise técnica e não substituem IOCs do fabricante.

Para confirmar a exposição existe ainda uma ferramenta de verificação disponibilizada pela watchTowr.

O que fazer agora

• Instalar no ESG o patch BNSF-40425 ou BNSF-40430, consoante a versão de firmware, e confirmar que ficou aplicado.
• Atualizar também os restantes cinco produtos afetados pela CVE-2026-111560.
• Retirar a interface de administração da Internet e limitá-la a uma rede de gestão ou VPN, já que o ataque depende de lhe chegar.
• Rever os registos desde, pelo menos, 2 de novembro à procura dos sinais descritos acima.
• Perante qualquer suspeita, tratar o equipamento como comprometido: isolar, preservar evidências, contactar o suporte do fabricante e renovar as credenciais e certificados nele guardados.

Porque importa em Portugal

Um gateway de correio eletrónico vê passar todas as mensagens de uma organização, pelo que um intruso com root tem acesso potencial a comunicações, anexos e credenciais de integração. O histórico do produto justifica cautela. Em 2023, a exploração da CVE-2023-2868 no ESG ficou associada ao grupo de espionagem UNC4841, de base chinesa segundo a Mandiant. O episódio terminou com a substituição integral do hardware afetado como remédio recomendado pelo fabricante.

Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), a gestão de vulnerabilidades em equipamentos de perímetro faz parte das medidas de gestão de risco exigidas. Um comprometimento com impacto significativo deve ser notificado ao CNCS/CERT.PT dentro dos prazos legais. Se houver acesso a correio com dados pessoais, aplica-se também o RGPD, que prevê a notificação à CNPD em 72 horas quando exista risco para os titulares. As PME que usam estes equipamentos através de um prestador de serviços devem confirmar com ele o estado das atualizações.

Perguntas frequentes

Que produtos Barracuda são afetados?

O Email Security Gateway é afetado pelas duas falhas. A CVE-2026-111560 atinge também o Load Balancer ADC, o Message Archiver, o WAF Control Center, o Web Application Firewall e o Web Security Gateway.

É preciso ter credenciais para explorar as falhas?

No ESG, não. O atacante só precisa de alcançar por rede a interface de administração. Nos restantes produtos, a injeção de comandos requer acesso administrativo.

Como sei se o meu equipamento está corrigido?

Confirme que o patch BNSF-40425 (firmware 9.4.017 ou superior) ou BNSF-40430 (versões anteriores) está instalado. O registo da Mandiant indica como vulneráveis as versões do ESG anteriores à 9.4.0.030.

O que fazer se suspeitar de comprometimento?

Isole o equipamento, preserve os registos, contacte o suporte da Barracuda e renove credenciais e certificados nele guardados. Avalie ainda as obrigações de notificação ao CNCS e à CNPD.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Barracuda Networks, pela documentação Barracuda Campus, pela watchTowr Labs e pela Mandiant.