Monitoraggio cyber di Top-Secured: analisi indipendente basata sulle fonti citate più in basso. Top-Secured non è affiliato alle aziende menzionate e non le chiederà mai le sue credenziali bancarie né le sue password.
Barracuda segnala lo sfruttamento di due falle che, combinate, danno accesso root ai suoi Email Security Gateway. Una di esse riguarda anche WAF, bilanciatori di carico, archiviatori e gateway web. La CISA le ha aggiunte al catalogo delle vulnerabilità sfruttate il 10 novembre.
Cosa è successo
Il 2 novembre 2026 Barracuda ha pubblicato un avviso su due vulnerabilità, divulgate lo stesso giorno da Mandiant. La sera del 9 novembre il produttore l’ha aggiornato: ha rilevato attività di sfruttamento che colpisce un piccolo numero di organizzazioni. Il giorno dopo la CISA ha inserito entrambe le falle nel catalogo KEV, con scadenza al 13 novembre per le agenzie federali statunitensi.
- CVE-2026-116606 (CVSS 9.3), solo Email Security Gateway (ESG): senza autenticarsi, un attaccante che raggiunge l’interfaccia di amministrazione può richiamare la funzione di importazione della configurazione e ripristinare un backup manipolato, riscrivendo le impostazioni dell’apparato.
- CVE-2026-111560 (CVSS 8.6): un amministratore può iniettare comandi di sistema tramite il campo del fuso orario, eseguiti come root. Sono coinvolti ESG, Load Balancer ADC, Web Application Firewall, Message Archiver, Web Security Gateway e WAF Control Center.
Chi è a rischio
Concatenate, le due falle permettono di passare da nessun account ai privilegi root sull’apparato, secondo Barracuda. I dispositivi con l’interfaccia di amministrazione raggiungibile da Internet sono i più esposti. Secondo Mandiant sono colpiti, tra gli altri, ESG fino a 9.4.0.27, ADC fino a 6.4.0, WAF fino a 11.0.1, Message Archiver fino a 5.5.4.0, Web Security Gateway fino a 16.1.100.100 e WAF Control Center fino a 2.2.1.
Cosa fare subito
- Verificate lo stato delle patch nell’interfaccia di ogni apparato: Barracuda le applica normalmente in automatico (per l’ESG, BNSF-40425 o BNSF-40430 a seconda del firmware). Se manca, installatela a mano e riattivate gli aggiornamenti automatici.
- Aggiornate i firmware vecchi: un apparato indietro di diverse versioni può richiedere più aggiornamenti in sequenza.
- Chiudete l’interfaccia di amministrazione verso Internet: solo reti interne o VPN, poi verificate da una connessione esterna che la pagina non risponda più.
- Cercate tracce: modifiche o ripristini di configurazione inattesi, valori strani nel fuso orario, account amministratore sconosciuti.
- Nel dubbio, contattate il supporto Barracuda e cambiate tutte le credenziali salvate sull’apparato (account di directory, relay SMTP, certificati).
La nostra analisi
Un apparato di sicurezza è un server, con una pagina di amministrazione che non dovrebbe mai essere esposta a Internet. Le patch automatiche sono un vantaggio reale, a patto che qualcuno controlli che siano state applicate. Un gateway di posta vede passare tutta la vostra corrispondenza: trattatelo come un server critico.
Fonti
- Barracuda — Pre-Authentication Authorization Bypass and Command Injection Vulnerabilities in Certain Barracuda Products
- CISA — Known Exploited Vulnerabilities Catalog: CVE-2026-116606 (Barracuda ESG)
- Mandiant — MNDT-2026-0042: Barracuda ESG authentication bypass (CVE-2026-116606)
- Mandiant — MNDT-2026-0041: Barracuda command injection (CVE-2026-111560)
Come scegliamo, verifichiamo e scriviamo le nostre analisi →
Il vostro server è esposto? Fate un test gratuito — solo informazioni pubbliche, senza intrusione:
Temi che i tuoi server siano esposti? Il nostro team verifica, aggiorna e monitora infrastrutture Linux e cloud 24/7.
Parla con un esperto I nostri servizi di gestione server →
