Barracuda Networks (più prodotti)
Barracuda (più prodotti): un amministratore può eseguire comandi come root, già sfruttata
Il problema, secondo i dati ufficiali
- Il campo di configurazione del fuso orario (timezone) non neutralizza correttamente i metacaratteri della shell. Un valore costruito ad arte permette di iniettare comandi del sistema operativo, che vengono eseguiti con privilegi root quando il valore viene elaborato.
- Può sfruttarla un amministratore autenticato, via rete. Riguarda alcuni prodotti appliance Barracuda che usano il codice comune Barracuda.
- È già usata in attacchi reali: la CISA l'ha inserita nel catalogo delle vulnerabilità sfruttate il 10/11/2026.
Cosa fare
- I dati ufficiali della CVE non indicano una versione corretta: segui l'avviso del produttore.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
- Se è stato esposto, controlla anche che nessuno sia già entrato: utenti nuovi, file modificati, accessi strani nei log.
Versioni interessate
- Barracuda Email Security Gateway (ESG): fino alla 9.4.0.27 inclusa
- Barracuda Load Balancer Application Delivery Controller (ADC): fino alla 6.4.0 inclusa
- Barracuda Web Application Firewall (WAF): fino alla 11.0.1 inclusa
- Barracuda Web Security Gateway (WSG): fino alla 16.1.100.100 inclusa
- Barracuda Message Archiver (BMA): fino alla 5.5.4.0 inclusa
- Barracuda WAF Control Center (WCC): fino alla 2.2.1 inclusa
Ne parlano
- Barracuda: disponibile PoC per lo sfruttamento delle CVE-2026-116606 e CVE-2026-111560 — CSIRT Italia, 12 novembre 2026
Fonti ufficiali
- trust.barracuda.com — avviso del produttore
- nvd.nist.gov — avviso del produttore
- github.com — riferimento
Descrizione ufficiale (in inglese)
Improper neutralization of shell metacharacters in the timezone configuration field in certain Barracuda appliance products using common Barracuda code allows an authenticated administrator to inject OS commands that execute with root privileges when the crafted timezone value is subsequently processed.
Non sai se ti riguarda?
Se usi Barracuda Networks (più prodotti) e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Ultimo aggiornamento: 13 novembre 2026. Prima di intervenire verifica l'avviso del produttore.