Barracuda ESG: falle già sfruttate, danno accesso root

Cosa è successo

Il 2 novembre 2026 Barracuda ha avvisato i clienti di due falle. La prima, CVE-2026-116606, è un aggiramento dei controlli di autorizzazione e riguarda solo l'Email Security Gateway (ESG, il filtro della posta). La seconda, CVE-2026-111560, permette a chi ha accesso da amministratore di far eseguire comandi come root, cioè con i massimi privilegi. Barracuda scrive che, usate insieme, le due falle possono dare l'accesso root all'apparecchio.

Lo conferma l'analisi tecnica di watchTowr Labs (5 novembre): sull'ESG una sola richiesta senza login sfrutta la prima falla e carica un backup di configurazione costruito ad arte; un valore al suo interno (il fuso orario) viene poi eseguito come comando root. Per il caso dell'ESG, secondo watchTowr, basta quindi una richiesta rivolta all'interfaccia di amministrazione, senza credenziali.

Quali prodotti

La CVE-2026-116606 riguarda solo l'ESG. La CVE-2026-111560 riguarda ESG, Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall e Web Security Gateway. Ogni prodotto ha la sua patch.

Per l'ESG l'avviso di Barracuda elenca le patch BNSF-40425 (da 9.4.017) e BNSF-40430 (versioni precedenti), e non cita numeri di versione. Le altre fonti non coincidono: la scheda di Mandiant indica vulnerabili le versioni dell'ESG precedenti alla 9.4.0.030, mentre watchTowr indica come corretta la 9.4.0.029. Per non sbagliare, installa l'ultimo firmware disponibile e tutte le patch, e controlla l'avviso di Barracuda per il tuo modello.

Gli attacchi in corso

Il 9 novembre Barracuda ha aggiornato l'avviso: «abbiamo individuato attività di sfruttamento che riguarda un piccolo numero di organizzazioni». Il 10 novembre la CISA ha aggiunto entrambe le falle al suo catalogo delle vulnerabilità sfruttate (KEV), con scadenza al 13 novembre per le agenzie federali americane.

Né Barracuda né la CISA danno dettagli sugli attacchi. SecurityWeek riporta che la società Previdian ha osservato 17 tentativi contro la CVE-2026-116606 fra il 9 e l'11 novembre, da 15 indirizzi in tre Paesi: è un dato di una sola fonte, non confermato da Barracuda.

Cosa non si sa ancora

Che accesso serve. Per la CVE-2026-116606 (solo ESG) non serve nessun login, ma l'attaccante deve riuscire a raggiungere l'interfaccia di amministrazione dell'apparecchio: il 5 novembre Barracuda ha corretto l'avviso in questo senso (prima diceva «accesso amministrativo»). Per la CVE-2026-111560, su tutti e sei i prodotti, serve invece un amministratore con login (lo dicono Barracuda, Mandiant e la CISA). In pratica: sull'ESG con l'interfaccia di amministrazione raggiungibile da Internet la catena dà root senza credenziali; è il caso più esposto.

Gli attacchi. Barracuda non dice quali prodotti siano colpiti né fornisce indicatori di compromissione. I punteggi di gravità (9,3 e 8,6) sono stati assegnati da Mandiant e confermati dall'avviso. Non è noto quante macchine siano esposte. Nel suo elenco la CISA indica per entrambe le falle anche la necessità di un controllo forense («forensic triage») per le agenzie che le hanno in uso.

Cosa fare

Secondo l'avviso di Barracuda:

1. Installa subito le patch del tuo prodotto, a mano se non sono arrivate da sole.
2. Limita l'interfaccia di amministrazione a reti interne fidate: non deve essere raggiungibile da Internet.
3. Se avevi spento gli aggiornamenti automatici, riaccendili.
4. Per verificare la versione del firmware o applicare le patch puoi chiedere aiuto al supporto Barracuda (support@barracuda.com).

Da dove vengono questi dati

Le fonti principali sono l'avviso di Barracuda (2 novembre 2026, aggiornato il 5 e il 9), le due schede di Mandiant, che ha assegnato le CVE, il catalogo CISA delle vulnerabilità sfruttate (aggiunta del 10 novembre) e l'analisi tecnica di watchTowr Labs. Tutte lette direttamente l'11 novembre 2026. I dati di Previdian vengono solo da SecurityWeek.