Barracuda: PoC pubblico per CVE-2026-116606 e CVE-2026-111560, rischio esecuzione di codice
L'ACN segnala un Proof of Concept per due vulnerabilità nei prodotti Barracuda. Se concatenate, permettono a un attaccante remoto di aggirare l'autenticazione ed eseguire codice con privilegi elevati.
- Disponibile un PoC per CVE-2026-116606 (CVSS 9.3) e CVE-2026-111560 (CVSS 8.6) nei prodotti Barracuda
- Concatenate, permettono a un attaccante remoto di eseguire codice con privilegi elevati
- Colpiti ESG, ADC, WAF, WSG, BMA e WCC, secondo la CVE-2026-111560
- Aggiornare il firmware e applicare le patch indicate nel bollettino del vendor
L’Agenzia per la Cybersicurezza Nazionale (ACN) ha segnalato la disponibilità di un Proof of Concept (PoC) per lo sfruttamento di due vulnerabilità che interessano diversi prodotti Barracuda: CVE-2026-116606 e CVE-2026-111560. Usate in combinazione, consentono a un attaccante remoto di eludere l’autenticazione e di eseguire codice arbitrario sul dispositivo, a condizione che riesca a raggiungere l’interfaccia amministrativa.
Le due vulnerabilità
La CVE-2026-116606 è un authentication bypass con punteggio CVSS 4.0 pari a 9.3. Riguarda Barracuda Email Security Gateway (ESG). Il difetto sta nella gestione del flusso applicativo durante il cambio della password amministrativa.
Quando l’operazione fallisce (ERROR_PASSWD_CHANGE), il software segnala l’errore all’utente ma non interrompe l’elaborazione della richiesta. Alcune operazioni successive vengono quindi processate, anche se avrebbero dovuto essere bloccate. Un attaccante non autenticato può inviare richieste costruite ad hoc per provocare l’errore e aggirare i controlli.
La CVE-2026-111560 è una OS command injection con CVSS 4.0 pari a 8.6. Coinvolge più prodotti:
- Email Security Gateway (ESG)
- Load Balancer Application Delivery Controller (ADC)
- Web Application Firewall (WAF)
- Web Security Gateway (WSG)
- Message Archiver (BMA)
- WAF Control Center (WCC)
La causa è la neutralizzazione inadeguata dei metacaratteri della shell nel campo di configurazione del fuso orario (system_timezone). Un attaccante autenticato può inserire in quel campo un valore costruito per contenere comandi di sistema. Quando il parametro viene elaborato, i comandi sono eseguiti con privilegi elevati.
L’impatto della concatenazione
Le due falle si sommano. La prima rimuove il requisito dell’autenticazione, la seconda permette l’esecuzione di comandi. Il risultato, secondo l’ACN, è che un attaccante remoto non autenticato, in grado di raggiungere l’interfaccia amministrativa, può ottenere l’esecuzione di codice arbitrario con privilegi elevati sul sistema.
La disponibilità di un PoC pubblico abbassa la soglia tecnica per chi volesse replicare l’attacco. La fonte non riporta tuttavia sfruttamenti in corso.
Cosa fare
- Aggiornare i prodotti vulnerabili all’ultima versione firmware disponibile.
- Applicare tempestivamente tutte le patch di sicurezza rilasciate dal fornitore.
- Consultare la sezione «Affected Products and Remediation» del bollettino di sicurezza Barracuda per l’elenco puntuale di prodotti, versioni e correzioni.
Indicatori di compromissione (IoC)
ERROR_PASSWD_CHANGE
system_timezoneFonte: ACN
