Gli attaccanti stanno sfruttando due vulnerabilità Barracuda recentemente corrette, che possono essere combinate per aggirare i controlli di autorizzazione e ottenere l'accesso root a un'appliance. SecurityWeek ha riferito che Barracuda ha confermato lo sfruttamento contro un numero ridotto di organizzazioni, rendendo aggiornamenti e restrizioni dell'accesso amministrativo una priorità immediata per gli operatori interessati.
Il bypass dell'autenticazione riguarda Barracuda Email Security Gateway (ESG). La seconda vulnerabilità, una command injection a livello di sistema operativo, interessa ESG e diversi altri prodotti appliance Barracuda. La CISA ha inserito entrambe nel proprio catalogo Known Exploited Vulnerabilities (KEV) il 10 novembre 2026, con data di risoluzione indicata al 13 novembre e con l'obbligo di triage forense nella risposta federale applicabile.
Come si collegano le vulnerabilità
La CVE-2026-116606, con punteggio CVSS 9,3, consente a un attaccante remoto non autenticato che può raggiungere l'interfaccia utente amministrativa di ESG di invocare una funzione di importazione della configurazione. Ripristinando un archivio di backup predisposto e compatibile, l'attaccante può apportare modifiche non autorizzate alla configurazione globale dell'appliance, come spiega il catalogo della CISA.
La seconda falla, la CVE-2026-111560, ha un punteggio CVSS di 8,6. Interessa ESG, Load Balancer/Application Delivery Controller (ADC), Web Application Firewall (WAF), Web Security Gateway (WSG), Message Archiver (BMA) e WAF Control Center (WCC).
Sfruttare questa falla richiede un accesso amministrativo autenticato. La CISA descrive un attaccante che inserisce comandi del sistema operativo in un valore di fuso orario predisposto; tali comandi vengono eseguiti con privilegi root quando il valore viene successivamente elaborato.
I prerequisiti contano: il bypass dell'autenticazione riguarda ESG, mentre la command injection ha un ambito di prodotti più ampio. La CISA identifica le due vulnerabilità come concatenabili e Barracuda, il 2 novembre, ha avvertito che combinarle potrebbe consentire a un attaccante di aggirare i controlli di autorizzazione e ottenere l'accesso root a un dispositivo, come riportato da SecurityWeek.
Una settimana dopo quell'avviso, Barracuda ha aggiornato il proprio bollettino di sicurezza per riconoscere lo sfruttamento contro un numero ridotto di organizzazioni. Separatamente, SecurityWeek ha riferito che la società di cybersicurezza Previdian ha rilevato diciassette tentativi contro la CVE-2026-116606 tra il 9 e l'11 novembre, provenienti da quindici indirizzi IP distribuiti in tre Paesi.
Queste osservazioni si riferiscono a tentativi. Il riconoscimento da parte di Barracuda e le voci del catalogo CISA stabiliscono la preoccupazione per lo sfruttamento; i punteggi CVSS descrivono la gravità. La CISA indica come sconosciuto l'eventuale utilizzo in campagne ransomware per entrambe le vulnerabilità.
La risposta federale prevede il triage forense
Le voci del catalogo CISA indicano alle agenzie interessate di applicare le mitigazioni seguendo le istruzioni del fornitore e di rispettare la Binding Operational Directive 26-04 e i relativi requisiti di triage forense. Chiedono inoltre di seguire le indicazioni applicabili per i servizi cloud oppure, se le mitigazioni non sono disponibili, di interrompere l'uso del prodotto.
La data del catalogo, il 13 novembre, rientra in una direttiva che disciplina le agenzie del Federal Civilian Executive Branch statunitense. Secondo la BOD 26-04, i tempi di risposta specifici per ciascun asset dipendono dall'esposizione pubblica, dallo stato KEV, dalla possibilità che lo sfruttamento venga automatizzato e dall'impatto tecnico. Le agenzie devono valutare l'esposizione di ogni asset: la data del catalogo non è una scadenza legale universale per ogni organizzazione o appliance.
Per la categoria di risposta a tre giorni, la direttiva richiede la risoluzione o la mitigazione entro tale periodo e il triage forense per valutare un'eventuale compromissione. Rimuovere un sistema da internet può modificarne la classificazione dell'esposizione e i tempi per le azioni successive.
La guida all'implementazione della CISA indica alle agenzie di delimitare l'ambito dei sistemi interessati e di preservare le prove prima di modificarli o bonificarli, ove possibile. I dati volatili vanno raccolti per primi, mantenendo la registrazione della raccolta, perché patch e contenimento possono distruggere gli artefatti necessari all'analisi.
Le agenzie dovrebbero poi applicare le patch critiche, coordinare il contenimento con la raccolta delle prove, isolare i sistemi interessati o sospetti ed esaminare le evidenze di accesso non autorizzato, presenza di attaccanti, movimento laterale, persistenza, staging dei dati o esfiltrazione. I tempi obiettivo di triage indicati dalla guida per i singoli sistemi sono pratiche raccomandate; il requisito è eseguire un triage forense adeguato.
Gli amministratori che utilizzano i prodotti Barracuda interessati dovrebbero installare tempestivamente gli aggiornamenti applicabili. SecurityWeek consiglia inoltre di tenere le interfacce amministrative lontane da internet pubblico e di limitare l'accesso alle reti interne fidate. Le agenzie federali soggette alla direttiva dovrebbero abbinare la mitigazione indicata dal fornitore alla valutazione richiesta sull'eventuale compromissione.
