CVE-2026-116606: Authentication Bypass Allows Global Configuration Restore in Barracuda Email Security Gateway

Analisi su rafaelpfister.ch

Articolo · 11 novembre 2026 CVE-2026-116606: il bypass dell'autenticazione di Barracuda ESG viene sfruttato - aggiornamento e verifica della compromissione Un bypass dell'autenticazione in Barracuda Email Security Gateway precedente alla versione 9.4.0.030 (CVE-2026-116606, CVSS 4.0: 9.3) consente di importare senza autenticazione un backup di configurazione appositamente predisposto. Barracuda conferma gli attacchi e CISA include la vulnerabilità nel catalogo KEV dal 10 novembre 2026. Le patch sono disponibili dal 2 novembre; l'interfaccia di amministrazione non dovrebbe essere raggiungibile da Internet.

Descrizione del produttore (in inglese)

An authentication bypass in Barracuda Email Security Gateway versions earlier than 9.4.0.030 allows an unauthenticated remote attacker to invoke a configuration-import function and restore a crafted, compatible backup archive, resulting in unauthorized modification of the appliance’s global configuration.

Dati di riferimento

Produttore

Barracuda Networks

Prodotti interessati

Barracuda Email Security Gateway (ESG)

CVSS 4.0

9.3 (CRITICAL)

Vettore

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Tipo di debolezza

CWE-288: Authentication bypass using an alternate path or channel

Pubblicata

2 novembre 2026

Nel catalogo KEV dal

10 novembre 2026

Scadenza enti federali USA

13 novembre 2026

Fonti ufficiali

← Tutte le vulnerabilità