---
title: "Barracuda e N-able liberam correções após alertas de segurança"
author: "Lígia Lemos Maia"
date: "2026-11-12 14:58:57.084-03"
category: "Segurança & Privacidade"
url: "https://desbugados.com.br/post/2026/11/12/barracuda-e-n-able-liberam-correcoes-apos-alertas-de-seguranca"
---

## Resumo
- A Barracuda confirmou exploração ativa de duas falhas corrigidas no Email Security Gateway.
- A combinação das falhas pode permitir execução de comandos com privilégios de root no dispositivo.
- A Barracuda orienta aplicar patches manualmente quando as atualizações automáticas estiverem desativadas e restringir o acesso administrativo a redes internas confiáveis.
- A CISA incluiu as vulnerabilidades da Barracuda em seu catálogo de falhas conhecidas como exploradas.
- A N-able lançou o N-central 2026.4 HF2 para corrigir sete CVEs após a divulgação pública de 33 exploits zero-day.
- A N-able tirou temporariamente do ar ambientes hospedados e orientou clientes locais a desligar os servidores; não havia comprometimento de clientes confirmado.

---

A [**Barracuda Networks**](https://www.bleepingcomputer.com/news/security/hackers-exploit-barracuda-email-security-gateway-flaws-to-get-root-access) confirmou exploração ativa de duas falhas já corrigidas no Email Security Gateway (ESG), enquanto a [**N-able**](https://www.csoonline.com/article/4247028/n-able-n-central-gets-emergency-fix-two-days-after-33-exploits-published.html) lançou o N-central 2026.4 HF2 após a divulgação pública de vulnerabilidades zero-day. Os alertas tratam de ferramentas usadas para proteger ou administrar sistemas, e mostram por que corrigir uma falha não encerra o trabalho: é preciso verificar se a atualização chegou aos equipamentos e se suas interfaces administrativas estão protegidas.


## Falhas da Barracuda podem abrir caminho até o root


Na Barracuda, o risco vem da combinação de duas vulnerabilidades no ESG. A CVE-2026-116606 é uma falha de autorização, avaliada em 9,3 na escala CVSS; a CVE-2026-111560 é uma injeção de comandos, com nota 8,6. Quando usadas em conjunto, elas permitem que atacantes executem comandos com privilégios de **root**, isto é, com o nível mais alto de controle sobre o dispositivo. A segunda falha também afeta o Load Balancer ADC, além do ESG.


Essa combinação pode dar controle total do equipamento a invasores que não precisam autenticar uma conta, desde que consigam alcançar a interface administrativa. A Barracuda informou que identificou exploração contra um pequeno número de organizações. A empresa também orientou administradores a restringir o acesso à interface a redes internas confiáveis e, quando as atualizações automáticas estiverem desativadas, aplicar os patches manualmente.


O alerta ganhou peso porque tentativas de varredura e direcionamento contra a CVE-2026-116606 foram observadas por uma empresa de segurança entre **9 e 11 de novembro de 2026**, com origem em vários endereços IP. A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos, a CISA, incluiu as duas vulnerabilidades em seu catálogo de falhas conhecidas como exploradas, o que exige que agências federais dos EUA apliquem as correções. Para os demais administradores, a recomendação prática é confirmar a versão instalada e não presumir que um patch anterior tenha sido aplicado em todos os aparelhos.


## Hotfix da N-able responde a exploits divulgados


O caso da N-able começou com a divulgação pública de **33 exploits zero-day** por Sean Bales, pesquisador de segurança que publicou o material em um repositório do GitHub chamado Able2Shell. Os exploits foram organizados em quatro cadeias de ataque e afetavam o N-able N-central Appliance 2026.4.0.31 e versões anteriores. A atualização N-central 2026.4 HF2 corrige sete CVEs, incluindo falhas XXE, que envolvem o processamento de entidades externas em arquivos XML, e uma vulnerabilidade de injeção OGNL.


A resposta também teve efeitos imediatos para diferentes formas de hospedagem: em **9 de novembro de 2026**, a N-able tirou temporariamente do ar ambientes hospedados do N-central em todo o mundo, como precaução, e aconselhou clientes com instalações locais a desligar os servidores. Entre as falhas corrigidas está uma que permite elevação local de privilégios até root. A empresa afirmou que não havia ambientes de clientes com comprometimento confirmado; agora, o ponto a acompanhar é a aplicação do hotfix e a verificação dos sistemas que ficaram expostos enquanto as vulnerabilidades eram divulgadas.