Il 6 novembre 2026 il CSIRT Italia, il centro dell’Agenzia per la cybersicurezza nazionale che monitora le minacce informatiche, ha pubblicato l’alert AL03/261106/CSIRT-ITA su due vulnerabilità che interessano vari prodotti Barracuda. Secondo l’alert è disponibile un proof of concept, cioè un codice dimostrativo che mostra come sfruttare le falle. L’impatto sistemico è giudicato critico, con un punteggio di 78,58.
Le due vulnerabilità sono identificate come CVE-2026-116606 e CVE-2026-111560. Prese singolarmente hanno una gravità alta. Concatenate, consentono a un attaccante remoto di eseguire codice arbitrario sul dispositivo senza dover avere un account.
Chi è coinvolto
Secondo l’alert sono interessati questi prodotti Barracuda:
- Email Security Gateway (ESG)
- Load Balancer Application Delivery Controller (ADC)
- Message Archiver (BMA)
- WAF Control Center (WCC)
- Web Application Firewall (WAF)
- Web Security Gateway (WSG)
L’alert rimanda alla sezione “Affected Products and Remediation” del bollettino di sicurezza del produttore per il dettaglio delle versioni e delle patch.
Che rischio c’è
La CVE-2026-116606 riguarda solo Email Security Gateway ed è di tipo authentication bypass, cioè permette di aggirare il controllo delle credenziali. Ha un punteggio CVSS 4.0 di 9,3. Il difetto sta nella procedura di cambio della password amministrativa: quando l’operazione fallisce (errore ERROR_PASSWD_CHANGE), il software segnala il problema ma non interrompe l’elaborazione della richiesta. Alcune operazioni successive vengono quindi eseguite anche se avrebbero dovuto essere bloccate. Un attaccante non autenticato che riesca a raggiungere l’interfaccia amministrativa può sfruttare questo comportamento con richieste costruite ad hoc.
La CVE-2026-111560 riguarda tutti i prodotti elencati ed è di tipo OS command injection, cioè l’inserimento di comandi di sistema in un campo che dovrebbe contenere altro. Ha un punteggio CVSS 4.0 di 8,6. Il campo interessato è quello del fuso orario (system_timezone): il prodotto non neutralizza correttamente certi caratteri speciali, e i comandi inseriti vengono eseguiti con privilegi elevati. In questo caso l’attaccante deve essere autenticato.
È la combinazione a preoccupare. La prima falla fornisce l’accesso senza credenziali, la seconda permette di eseguire comandi. Il risultato, secondo l’alert, è l’esecuzione di codice arbitrario con privilegi elevati da parte di un attaccante remoto, purché possa raggiungere l’interfaccia amministrativa del dispositivo. L’alert indica il proof of concept come presente per entrambe le CVE, mentre per lo sfruttamento attivo non riporta informazioni.
Cosa fare
Il CSIRT Italia raccomanda, ove non sia già stato fatto, di aggiornare i prodotti vulnerabili all’ultima versione firmware disponibile e di applicare tempestivamente tutte le patch di sicurezza rilasciate dal fornitore, seguendo le indicazioni del bollettino di sicurezza di Barracuda.
Chi non gestisce direttamente questi apparati può chiedere al proprio fornitore IT se sono in uso e se gli aggiornamenti sono stati installati. Conviene anche verificare che gli aggiornamenti automatici, dove previsti, siano attivi.
Fonte: alert AL03/261106/CSIRT-ITA del CSIRT Italia, Agenzia per la cybersicurezza nazionale, pubblicato il 6 novembre 2026 (impatto sistemico critico). Leggi l’alert originale.
