- Cosa può fare
- La prima falla (CVE-2026-116606) consente di aggirare l'autenticazione dell'interfaccia di amministrazione dell'Email Security Gateway. La seconda (CVE-2026-111560) permette di inserire comandi di sistema in un campo di configurazione. Concatenate, danno a un attaccante remoto il controllo dell'apparato con privilegi elevati.
- Cosa mette in pericolo
- Tutta la posta aziendale che passa dal gateway (lettura, deviazione, blocco), le configurazioni e le credenziali salvate sull'apparato, e un punto d'appoggio da cui muoversi verso la rete interna.
- Chi è colpito
- Barracuda Email Security Gateway (ESG): entrambe le falle. Load Balancer ADC, Web Application Firewall, Web Security Gateway, Message Archiver e WAF Control Center: solo CVE-2026-111560. Le versioni esatte vanno verificate nel bollettino del produttore: le fonti riportano soglie di firmware diverse.
Cosa fare
- Aggiornare subito il firmware dei prodotti Barracuda interessati alla versione più recente indicata dal produttore, verificando sul dispositivo la versione installata.
- Controllare nel bollettino del produttore le versioni corrette per ciascun prodotto: le fonti riportano soglie diverse, quindi non fidarsi di un solo numero.
- Non lasciare l'interfaccia di amministrazione raggiungibile da Internet: limitarla a rete interna, VPN o indirizzi autorizzati.
- Verificare nei registri dell'apparato accessi o modifiche di configurazione anomale dall'1 novembre in poi.
- Se si trovano segni di compromissione, isolare l'apparato, cambiare le credenziali che vi sono memorizzate e rivolgersi a un tecnico.