Barracuda pubblica patch per due falle in sei famiglie di appliance

Barracuda ha pubblicato patch per due vulnerabilità che interessano sei famiglie di appliance. Email Security Gateway (ESG) è l’unico prodotto coinvolto in entrambe: le altre cinque famiglie sono indicate come interessate dalla command injection. L’avviso del produttore, pubblicato il 2 novembre 2026, elenca i dispositivi coinvolti, i codici delle patch e le indicazioni per gli aggiornamenti.

Le falle hanno meccanismi e prerequisiti diversi. La prima, CVE-2026-116606, riguarda l’aggiramento dell’autenticazione nell’ESG; la seconda, CVE-2026-111560, è una command injection nei sei prodotti. C’è però una discrepanza da tenere presente: Barracuda dice che per sfruttarle occorre accesso all’interfaccia amministrativa, mentre Mandiant descrive CVE-2026-116606 come sfruttabile da remoto senza autenticazione.

Prodotti, versioni e patch indicate

La tabella riporta le versioni vulnerabili descritte da Mandiant e i codici patch pubblicati da Barracuda. Per CVE-2026-111560, Mandiant include le versioni uguali alle soglie indicate; il Cyber Centre canadese formula invece le soglie come versioni precedenti. Le differenze di confine e di numerazione vanno quindi verificate con il produttore prima di usarle per decidere se un dispositivo è aggiornato.

I codici e le soglie non sono intercambiabili: per ESG, per esempio, Barracuda distingue la patch in base alla versione 9.4.017. L’azienda segnala inoltre che un firmware rimasto indietro di più versioni può richiedere passaggi di aggiornamento intermedi.

Come funzionano le due vulnerabilità

Secondo la descrizione tecnica di Mandiant per CVE-2026-116606, la falla dell’ESG consente a un attaccante remoto non autenticato di richiamare una funzione d’importazione della configurazione e ripristinare un archivio di backup appositamente costruito. Il risultato possibile è una modifica non autorizzata della configurazione globale dell’apparato. Mandiant assegna alla vulnerabilità un punteggio CVSS 4.0 di 9,3.

Barracuda, nella propria scheda, classifica la stessa vulnerabilità come aggiramento dell’autorizzazione prima dell’autenticazione, ma indica che per sfruttarla è necessario l’accesso amministrativo. Le due descrizioni non coincidono sul requisito di autenticazione: finché la differenza non è chiarita, non è prudente assumere che l’interfaccia amministrativa sia l’unico percorso rilevante o che sia necessariamente esposta a Internet.

CVE-2026-111560 riguarda invece la gestione del campo di configurazione del fuso orario. Mandiant spiega che una neutralizzazione insufficiente di caratteri speciali può consentire a un amministratore autenticato di inserire comandi del sistema operativo, eseguiti con privilegi root quando il valore viene elaborato. Il punteggio CVSS 4.0 è 8,6; Barracuda classifica anche questa vulnerabilità come di gravità alta.

Secondo Barracuda, se le due falle vengono sfruttate insieme su ESG, l’attaccante potrebbe aggirare i controlli di autorizzazione e ottenere privilegi root sul dispositivo. È una possibilità descritta dal produttore, non la conferma che la catena sia stata usata in un attacco. Gli avvisi consultati non precisano se le vulnerabilità siano state sfruttate attivamente.

Che cosa raccomanda il produttore

Barracuda invita i clienti a controllare firmware e patch su ogni apparato interessato, applicare manualmente la correzione se non è stata installata automaticamente e riattivare gli aggiornamenti automatici se erano stati disabilitati. Per i dispositivi con firmware molto indietro, il produttore consiglia di considerare la necessità di più aggiornamenti e di rivolgersi al supporto se serve assistenza.

L’azienda raccomanda inoltre di limitare l’accesso alle interfacce amministrative alle reti interne fidate e di usare controlli di accesso di rete. Ridurre l’esposizione può restringere un possibile percorso d’attacco, ma non sostituisce l’installazione delle patch. Il passaggio immediato per chi gestisce questi apparati è identificare modello e versione, verificare il codice patch applicabile e confermare che l’aggiornamento sia stato installato.