CVE-2026-116606: il bypass dell'autenticazione di Barracuda ESG viene sfruttato - aggiornamento e verifica della compromissione

Il 2 novembre 2026 Barracuda ha pubblicato un advisory su due vulnerabilità di Barracuda Email Security Gateway (ESG) e ha reso disponibili le patch nello stesso giorno. CVE-2026-116606 è un bypass dell’autenticazione con un punteggio CVSS 4.0 di 9.3: un aggressore senza autenticazione può richiamare, tramite l’interfaccia di amministrazione, una funzione di importazione della configurazione, caricare un backup appositamente predisposto e modificare così la configurazione globale dell’appliance. Secondo NVD e Mandiant, sono interessate tutte le versioni ESG precedenti alla 9.4.0.030. In combinazione con la Command Injection CVE-2026-111560, secondo Barracuda è possibile ottenere accesso root al dispositivo. Il 9 novembre 2026 Barracuda ha integrato l’advisory con l’indicazione che le vulnerabilità sono state sfruttate presso un numero limitato di organizzazioni. L’agenzia statunitense CISA ha aggiunto entrambe le CVE al proprio catalogo delle vulnerabilità sfruttate (KEV) il 10 novembre 2026.

I punti principali in breve

Versioni interessate e aggiornamenti

Barracuda identifica le correzioni nell’advisory tramite identificativi delle patch; il limite di versione 9.4.0.030 proviene dalla voce CVE di Mandiant e da NVD. La grafia «9.4.017» corrisponde all’advisory. Se il firmware è indietro di più versioni, secondo Barracuda potrebbe essere necessario più di un aggiornamento prima che la patch abbia effetto.

CVE-2026-111560 (Command Injection, CVSS 4.0: 8.6) interessa, oltre all’ESG, altri prodotti. Senza CVE-2026-116606, lo sfruttamento richiede diritti di amministratore. I limiti di versione provengono dalla panoramica di Beazley Security, gli identificativi delle patch dall’advisory Barracuda:

Cosa si sa sullo sfruttamento

Nell’aggiornamento del 9 novembre 2026, Barracuda scrive di aver rilevato lo sfruttamento presso un numero limitato di organizzazioni. Barracuda non fornisce dettagli sul numero di soggetti coinvolti, sugli aggressori o sulle modalità operative; l’advisory non contiene indicatori (IoC). CISA include CVE-2026-116606 e CVE-2026-111560 nel catalogo KEV dal 10 novembre 2026 e richiede alle agenzie federali statunitensi, entro il 13 novembre 2026, di applicare le misure del produttore e di effettuare un esame forense secondo BOD 26-04. Se non è possibile correggere il problema, secondo CISA il prodotto deve essere ritirato dal servizio.

Barracuda ha segnalato la vulnerabilità il 22 ottobre 2026; Mandiant ha pubblicato la voce CVE e l’advisory MNDT-2026-0042 il 2 novembre 2026. Secondo Mandiant, l’attacco avviene tramite l’importazione della configurazione: un backup compatibile appositamente predisposto viene caricato senza autenticazione e sovrascrive la configurazione globale. Secondo SecurityWeek, CVE-2026-111560 risiede nell’impostazione del fuso orario e consente l’esecuzione di comandi con diritti root.

Secondo SecurityOnline, watchTowr Labs ha pubblicato un’analisi tecnica e uno script per la catena su GitHub. Il repository è pubblico; watchTowr descrive lo script come «Detection Artifact Generator» e, secondo SecurityOnline, accetta comandi arbitrari. SecurityOnline descrive così le cause: un cambio di password non riuscito segnala sì un errore, ma non interrompe l’elaborazione; il checksum dei file di backup si basa su un segreto incorporato, consentendo di falsificare backup validi; tramite un valore di fuso orario nel backup, il comando iniettato viene quindi eseguito come root. Non è noto se gli attacchi osservati utilizzino questo script.

Misure immediate

1. Verificare lo stato delle patch: Nell’interfaccia web, in ADVANCED > Firmware Update, nella sezione «Firmware Patches», recuperare le patch disponibili con «Sync Now» e verificare che BNSF-40425 o BNSF-40430 sia applicata. Secondo Barracuda, le patch potrebbero essere state installate automaticamente.

2. Installare la patch o l’aggiornamento del firmware: Se la patch manca, installarla manualmente senza indugio. Nella modalità «Automatic», secondo la documentazione Barracuda, l’appliance non si riavvia autonomamente dopo una patch; se è necessario un riavvio, avviarlo manualmente. Con firmware meno recenti, eseguire prima i necessari passaggi di aggiornamento.

3. Attivare il patching automatico: Se «Apply Patches» è impostato su «Disable» (impostazione predefinita secondo la documentazione) o «Manual», Barracuda raccomanda di riattivare l’applicazione automatica.

4. Isolare l’interfaccia di amministrazione: Limitare l’accesso all’interfaccia di amministrazione a reti interne attendibili, ad esempio una rete di gestione o una VPN, e applicare la restrizione sul firewall a monte. Barracuda ritiene meno a rischio i dispositivi la cui interfaccia di amministrazione non è raggiungibile da Internet. La misura non sostituisce la patch.

5. Verificare altri prodotti Barracuda: Controllare Load Balancer ADC, WAF, WSG, Message Archiver e WAF Control Center per le patch relative a CVE-2026-111560.

Verifica della compromissione

Barracuda e CISA non pubblicano indicatori. Poiché la vulnerabilità viene sfruttata e può essere attaccata senza autenticazione, andrebbe verificato ogni dispositivo la cui interfaccia di amministrazione era raggiungibile dall’esterno della rete di gestione prima della patch. Field Effect raccomanda:

1. Chiarire la raggiungibilità: Stabilire se e da quando l’interfaccia di amministrazione era raggiungibile da Internet o da reti esterne all’amministrazione; conservare i log del firewall e del proxy relativi a tale periodo.

2. Analizzare gli accessi amministrativi: Verificare gli accessi all’interfaccia di amministrazione provenienti da indirizzi sconosciuti.

3. Cercare importazioni di configurazione: Ripristini di backup di configurazione che non provengono dalla propria amministrazione sono un indizio di CVE-2026-116606.

4. Verificare le modifiche alla configurazione: Controllare le modifiche alla configurazione alla ricerca di voci inattese. È utile confrontare con un backup noto e pulito; ciò include anche l’impostazione del fuso orario, tramite la quale viene attivata CVE-2026-111560.

5. Cambiare le credenziali: In caso di sospetta compromissione, cambiare tutte le credenziali, le chiavi e gli account raggiungibili dall’appliance.

Secondo la descrizione della CVE, un attacco riuscito modifica la configurazione globale; in combinazione con CVE-2026-111560 è possibile ottenere accesso root. Le fonti non indicano se la patch annulli tali modifiche. Continuate pertanto a verificare anche dopo l’aggiornamento e salvate log e configurazione prima delle modifiche, affinché resti possibile un’analisi forense. Dopo la campagna relativa a CVE-2023-2868, secondo SecurityWeek Barracuda aveva richiesto la sostituzione dei dispositivi compromessi; per le vulnerabilità attuali non è stata finora formulata una raccomandazione analoga (situazione all’11 novembre 2026).

Inquadramento

CVE-2026-116606 interessa esclusivamente gli operatori di Barracuda Email Security Gateway; CVE-2026-111560 colpisce inoltre altri cinque prodotti Barracuda. L’ESG era già stato in passato bersaglio di attacchi mirati: secondo BleepingComputer, CVE-2023-2868 è stata sfruttata dal gruppo UNC4841 almeno dall’ottobre 2022 e, secondo Mandiant (citata da BleepingComputer), quasi un terzo dei dispositivi allora compromessi apparteneva ad autorità pubbliche. Fino all’11 novembre 2026 non risultavano reperibili comunicazioni di NCSC Svizzera, BSI o CERT-FR su CVE-2026-116606.