Ing. Calogero Bono
Barracuda ha rilasciato le patch per due vulnerabilità che, usate insieme, permettono a un attaccante remoto di eseguire comandi come root sull'Email Security Gateway senza alcun login. Il CSIRT Italia ha emesso un alert, segnalando la disponibilità di una prova di concetto (PoC). La società watchTowr ha pubblicato l'analisi tecnica della catena. Conta perché l'appliance filtra la posta aziendale e, se esposta, diventa un punto d'ingresso molto delicato.
Qualche termine, prima di entrare nei fatti. CVE è il codice che identifica una vulnerabilità nota. PoC (Proof of Concept) è una dimostrazione che prova come sfruttare una falla. Authentication bypass significa aggirare il controllo di accesso. Command injection è l'inserimento di comandi di sistema in un campo che dovrebbe contenere solo dati. CVSS è il punteggio di gravità da 0 a 10.
Che cosa è successo con Barracuda?
Secondo l'alert dell'ACN, è disponibile una PoC per due falle, CVE-2026-116606 e CVE-2026-111560, che riguardano vari prodotti Barracuda. Concatenate, consentono a un attaccante remoto che raggiunga l'interfaccia amministrativa di eludere l'autenticazione ed eseguire codice arbitrario.
Come riferisce The Hacker News, l'azienda ha rilasciato le patch lunedì e watchTowr ha dettagliato la catena giovedì.
Come funzionano le due falle?
La CVE-2026-116606 è un bypass dell'autenticazione e vale 9.3 su 10 (CVSS 4.0). Riguarda solo l'Email Security Gateway. Secondo l'ACN nasce da un errore nel cambio password amministrativo. Quando il cambio fallisce, il software segnala l'errore ma non ferma la richiesta.
La CVE-2026-111560 è una command injection da 8.6. Il campo del fuso orario (system_timezone) non neutralizza i metacaratteri della shell e i comandi vengono eseguiti con privilegi elevati. Di norma serve un account amministratore, ma sull'ESG il bypass lo concede.
Come si arriva a root senza login?
Secondo l'analisi di watchTowr, riportata da The Hacker News, il cambio password fallito restituisce all'attaccante un ruolo con pochi privilegi invece di bloccare la richiesta. Questo lascia aperta una funzione di ripristino dei backup.
Il backup caricato contiene un valore di fuso orario che l'appliance poi esegue come comando di shell con permessi root. Barracuda protegge i backup con un checksum, ma il segreto per calcolarlo è scritto nel codice, quindi può essere falsificato. watchTowr ha dimostrato l'attacco scrivendo un file come root.
Quali prodotti sono interessati e come si corregge?
La command injection tocca sei prodotti.
- Email Security Gateway
- Load Balancer ADC
- Message Archiver
- WAF Control Center
- Web Application Firewall
- Web Security Gateway
Sui cinque diversi dall'ESG serve ancora un account amministratore. Barracuda ha una patch per ogni prodotto. L'Email Security Gateway è corretto dalla versione 9.4.0.030 in poi. Se non puoi aggiornare subito, limita l'interfaccia amministrativa alle reti interne fidate e riattiva gli aggiornamenti automatici se li avevi spenti.
Limiti da conoscere
Nessuna delle due falle risulta nel catalogo KEV della CISA e nessun rapporto pubblico le collega a un attacco. watchTowr ha diffuso uno strumento di rilevamento ma non un exploit. Resta da vedere se compariranno exploit pubblici. Le due fonti descrivono in modo un po' diverso il bypass, e l'elenco completo delle versioni sta solo nel bollettino del vendor.
Cosa cambia per chi lavora con il digitale
Se la tua azienda usa un'appliance Barracuda, controlla subito la versione del firmware e applica la patch. Verifica poi se l'interfaccia amministrativa è raggiungibile da internet, perché è il requisito dell'attacco. Chi gestisce un'infrastruttura può restringere l'accesso come si fa con una subnet privata e i security group. Se i server li affidi a terzi, chiedi chi si occupa degli aggiornamenti, come nell'hosting gestito.
Il nostro parere
Il caso mostra un errore classico. Un controllo che segnala il problema ma non interrompe il flusso vale poco. A questo si somma un segreto fisso nel codice per il checksum, che non ferma nessuno. Una difesa perimetrale non dovrebbe aprire un accesso root remoto. Ricorda anche la falla di APT con installazioni come root. Non servono allarmismi, ma la patch va fatta ora.
Domande frequenti
Serve un login per sfruttare la catena su Barracuda ESG?
No. Secondo The Hacker News le due falle concatenate portano a root senza login. L'attaccante deve però raggiungere l'interfaccia amministrativa dell'appliance.
Quali versioni dell'Email Security Gateway sono corrette?
La versione 9.4.0.030 e successive. Il dettaglio per ogni prodotto è nel bollettino di sicurezza di Barracuda.
Le falle sono già sfruttate negli attacchi?
Non risulta. Le fonti dicono che non sono nel catalogo KEV della CISA e che nessun rapporto pubblico le lega a un attacco. Una PoC però è disponibile.
Cosa faccio se non posso aggiornare subito?
Limita l'interfaccia di amministrazione alle reti interne fidate. Riattiva inoltre gli aggiornamenti automatici, se li avevi disattivati.
Chi ha assegnato le due CVE?
Mandiant, secondo The Hacker News. Mandiant, che ha assegnato le due CVE, ha valutato il bypass 9.3 su 10 e la command injection 8.6.
Cosa controllare nelle prossime settimane sulle appliance Barracuda
La patch c'è, ma la PoC è disponibile e la finestra tra annuncio e attacchi si accorcia. Conviene seguire l'evoluzione.
- Controlla se le due CVE entrano nel catalogo KEV della CISA o se escono exploit pubblici.
- Usa lo strumento di rilevamento di watchTowr per verificare le tue appliance.
- Rileggi il bollettino Barracuda per i prodotti diversi dall'ESG e conferma le versioni corrette.
