CVE-2026-111560
Pubblicato da Mandiant, 2 nov
Vulnerabilità · 2 ore fa
Barracuda ha divulgato due vulnerabilità concatenabili che possono portare all’accesso root sugli appliance, ma solo se l’attaccante raggiunge l’interfaccia amministrativa. La possibilità di sfruttare la catena dipende quindi dall’esposizione del piano di gestione.
Su Email Security Gateway, CVE-2026-116606 consente di raggiungere senza la normale autorizzazione una funzione di importazione della configurazione. CVE-2026-111560 fa invece interpretare un’impostazione del fuso orario come un comando e riguarda sei famiglie di appliance. Insieme, le due falle trasformano una modifica alle impostazioni in una via verso i privilegi root.
La falla di command injection coinvolge anche Load Balancer Application Delivery Controller, Message Archiver, WAF Control Center, Web Application Firewall e Web Security Gateway. Barracuda invita a verificare firmware e patch, ma le fonti non indicano versioni corrette specifiche. Il confine decisivo resta la raggiungibilità dell’interfaccia amministrativa.
Pubblicato da Mandiant, 2 nov
Pubblicato da Mandiant, 2 nov
4 fonti che coprono questa storia
Kwetsbaarheden verholpen in Barracuda Email Security Gateway
Barracuda heeft twee kwetsbaarheden vastgesteld in verschillende Barracuda-producten: een kwetsbaarheid voor het omzeilen van autorisatiecontroles (CVE-2026-116606) en een kwetsbaarheid voor command injection (CVE-2026-111560).
Barracuda’s security appliances have a security problem of their own
Chained together, an authorization bypass and a command injection vulnerability could give attackers root access to Barracuda devices.
Barracuda Flaws Could Be Chained to Bypass Authorization and Gain Root Access
Two Barracuda flaws could be chained to bypass authorization and gain root access to devices if attackers can reach their admin interfaces.
Barracuda warns of critical flaws allowing root access to devices
Cybersecurity company Barracuda Networks warned customers to patch two vulnerabilities that can let attackers run commands with root privileges.
Part of the PlainSec briefing for 2026-11-04