Due falle in Email Security Gateway di Barracuda possono essere combinate per eseguire comandi senza effettuare l'accesso, garantendo a un aggressore l'accesso root, cioè il livello di controllo più alto dell'appliance. The Hacker News ha riportato che Barracuda ha rilasciato le patch lunedì, mentre la società di sicurezza watchTowr ha descritto la catena di attacco giovedì.
Le organizzazioni che usano l'appliance di filtraggio email dovrebbero verificare lo stato delle patch: la versione 9.4.0.030 e successive contiene le correzioni. Una delle falle interessa anche altri cinque prodotti Barracuda, ma sfruttarla su questi richiede comunque un account amministratore.
Come si combinano le due falle
CVE-2026-116606 è un bypass di autorizzazione, cioè un'errata applicazione delle restrizioni di accesso. Riguarda solo Email Security Gateway e permette a un aggressore non autenticato di ripristinare un backup di configurazione appositamente creato, modificando le impostazioni globali dell'appliance.
Il secondo problema, CVE-2026-111560, è una command injection (iniezione di comandi): dati forniti all'appliance possono diventare comandi del sistema operativo. Vengono eseguiti con privilegi root, ma di norma richiedono l'accesso da amministratore. Su Email Security Gateway, il bypass di autorizzazione fornisce l'accesso necessario per sfruttarla senza effettuare il login.
Mandiant, che ha assegnato i due identificativi CVE, valuta il bypass 9,3 su 10 e la command injection 8,6.
Nella sua analisi tecnica, watchTowr ha ricondotto il bypass a una richiesta di cambio password non riuscita. Invece di bloccare la richiesta, il codice restituisce un ruolo a bassi privilegi, lasciando accessibile la funzione di ripristino dei backup a chi non si è autenticato.
Il backup caricato può contenere un valore di fuso orario (timezone) che l'appliance esegue successivamente come comando shell con privilegi root. I backup hanno un checksum, un valore usato per verificarne l'integrità, ma il segreto usato per calcolarlo è incorporato nel codice. Questo permette a un aggressore di falsificare un checksum valido per un backup malevolo. watchTowr ha dimostrato la catena scrivendo un file sull'appliance con privilegi root.
I ricercatori hanno anche rilasciato uno strumento per verificare se un appliance è vulnerabile, ma non hanno pubblicato un exploit. The Hacker News non ha riportato attacchi pubblici legati a nessuna delle due falle e ha precisato che nessuna delle due compariva nel catalogo Known Exploited Vulnerabilities di CISA in quella settimana.
In precedenza Email Security Gateway era stato preso di mira da UNC4841 nel 2023 tramite una vulnerabilità diversa, CVE-2023-2868, prima che fosse disponibile una correzione. Il catalogo di CISA elenca questa vecchia falla; quegli attacchi non sono collegati alle due falle appena rese note.
Cosa devono fare gli amministratori
The Hacker News riferisce che Barracuda ha rilasciato patch per tutti i prodotti interessati, con il firmware corretto specifico per ciascun prodotto indicato nel proprio avviso di sicurezza. Gli amministratori dovrebbero applicare la patch pertinente o aggiornare al firmware corretto; per Email Security Gateway, si tratta della versione 9.4.0.030 o successive.
L'avviso di Barracuda raccomanda anche di limitare l'interfaccia di amministrazione alle reti interne fidate se non è possibile applicare subito la patch. Chi ha disattivato l'applicazione automatica delle patch dovrebbe riattivarla.
