Barracuda ha divulgato due vulnerabilità che interessano i suoi prodotti e che potrebbero essere concatenate per aggirare i controlli di autorizzazione e ottenere l’accesso root a un dispositivo vulnerabile. Le falle sono un bypass dell’autorizzazione pre-autenticazione, identificato come CVE-2026-116606 e con una valutazione di 9.3, e una vulnerabilità di command injection, CVE-2026-111560, con una valutazione di 8.6.
CVE-2026-116606 interessa Email Security Gateway. CVE-2026-111560 interessa Email Security Gateway, Load Balancer Application Delivery Controller, Message Archiver, WAF Control Center, Web Application Firewall e Web Security Gateway.
Barracuda ha dichiarato che lo sfruttamento delle vulnerabilità richiede l’accesso all’interfaccia amministrativa di un prodotto interessato. Usate insieme, le vulnerabilità potrebbero consentire a un aggressore di aggirare i controlli di autorizzazione e ottenere l’accesso root al dispositivo.
L’azienda ha affermato che i dispositivi le cui interfacce amministrative non sono esposte a Internet sono meno vulnerabili a questo vettore di attacco. Raccomanda di limitare l’accesso amministrativo alle reti interne fidate e di utilizzare controlli di accesso alla rete per ridurre l’esposizione.
Barracuda ha inoltre consigliato ai clienti di verificare che i propri sistemi utilizzino il firmware più recente e abbiano ricevuto tutte le patch di sicurezza. I dispositivi che sono indietro di diverse versioni del firmware potrebbero richiedere più di un aggiornamento.
Fonti: The Hacker News.