Red Hat e Barracuda rilasciano patch critiche per server Linux e appliance

🛡️ Executive Summary

• Red Hat rilascia le patch per CVE-2026-98432, vulnerabilità TCP del kernel Linux con punteggio CVSS 9,8 e possibilità di esecuzione remota di codice.
• Ubuntu mantiene le correzioni per le principali versioni LTS nel canale -proposed, mentre RHEL 8, 9 e 10 dispongono dei kernel aggiornati.
• Barracuda corregge CVE-2026-116606 e CVE-2026-111560, due vulnerabilità che possono essere concatenate per ottenere accesso root agli appliance interessati.

Red Hat e Barracuda hanno pubblicato nuovi aggiornamenti di sicurezza per vulnerabilità che interessano server Linux e appliance di protezione delle reti aziendali. Il primo intervento riguarda CVE-2026-98432, una falla del kernel Linux valutata CVSS 9,8, potenzialmente sfruttabile da remoto senza autenticazione. Il secondo corregge CVE-2026-116606 e CVE-2026-111560, due problemi nei prodotti Barracuda che, se concatenati, possono consentire di aggirare i controlli di autorizzazione ed eseguire comandi con privilegi root. Le correzioni arrivano tra il 1° e il 2 novembre 2026, ma presentano condizioni di sfruttamento e modalità di aggiornamento differenti. Per gli amministratori la priorità è verificare i sistemi realmente esposti e la disponibilità delle patch.

CVE-2026-98432 colpisce il TCP IPv4 del kernel Linux

La vulnerabilità CVE-2026-98432 riguarda una condizione di competizione (race condition) nella gestione delle connessioni TCP IPv4 del kernel Linux, presente nel codice a partire dalla versione 4.4. Il problema si manifesta durante l’elaborazione simultanea di richieste di connessione ritrasmesse, quando alcune opzioni IP possono essere liberate dalla memoria mentre un’altra operazione le sta ancora utilizzando. Questa situazione genera una use-after-free, condizione che può provocare il crash del sistema, la corruzione della memoria e, in determinate circostanze, l’esecuzione remota di codice. Il bollettino ufficiale Red Hat RHSB-2026-016 classifica il problema come critico, sottolineando che un aggressore può raggiungere il percorso vulnerabile attraverso normali servizi TCP IPv4 esposti, senza possedere credenziali o richiedere interazioni all’utente. La vulnerabilità può essere innescata tramite opzioni IPv4 presenti nelle richieste TCP e richiede una precisa sincronizzazione delle operazioni. La sua gravità non implica che ogni tentativo produca automaticamente una compromissione root: il possibile sfruttamento e l’affidabilità di un exploit sono aspetti distinti. Anthropic ha documentato un exploit sperimentale capace di ottenere privilegi root in un ambiente con Multipath TCP, ma il codice non è stato pubblicato e non risultano attacchi reali confermati. Inoltre, il problema non dipende esclusivamente da Multipath TCP, perché interessa il percorso ordinario di gestione delle connessioni IPv4.

Leggi anche: Kernel Linux, falla TCP CVSS 9,8: AWS rilascia patch per EC2 ed EKS

Red Hat aggiorna RHEL 8, 9 e 10 mentre Ubuntu completa i test

La novità del 3 novembre riguarda soprattutto la disponibilità delle correzioni per Red Hat Enterprise Linux 8, 9 e 10, dopo che nei giorni precedenti il produttore aveva indicato i sistemi come vulnerabili. Gli aggiornamenti distribuiti il 1° novembre 2026 sono identificati dagli advisory RHSA-2026:93414 per RHEL 8, RHSA-2026:93412 per RHEL 9 e RHSA-2026:93413 per RHEL 10. I kernel corretti includono rispettivamente le versioni 4.18.0-553.182.1.el8_10, 5.14.0-687.64.1.el9_8 e 6.12.0-211.72.1.el10_2. Gli amministratori devono verificare il pacchetto applicabile alla propria release e riavviare il sistema dopo l’aggiornamento, poiché l’installazione del nuovo kernel non sostituisce automaticamente quello già in esecuzione. OpenShift 4 resta indicato come interessato nella documentazione Red Hat e richiede controlli specifici sui kernel dei nodi RHEL CoreOS. Sul fronte Canonical, la situazione è differente: il comunicato ufficiale Ubuntu del 2 novembre conferma che le correzioni per Ubuntu 22.04, 24.04 e 26.04 LTS sono disponibili nel repository sperimentale -proposed, ma non ancora nel normale canale di aggiornamento stabile. Ubuntu 26.10 risulta invece corretta con il kernel 7.3.0-10.10, mentre le versioni LTS più vecchie attendono ulteriori aggiornamenti. Canonical sottopone i pacchetti a test su oltre 2.000 server e dispositivi certificati, per ridurre il rischio di regressioni operative. Disabilitare Multipath TCP non costituisce una protezione sufficiente: l’installazione del kernel corretto rimane l’intervento risolutivo.

Barracuda corregge due vulnerabilità che possono portare a root

Parallelamente, Barracuda Networks ha pubblicato il 2 novembre 2026 un advisory dedicato a due problemi di sicurezza individuati nei propri appliance. CVE-2026-116606, classificata CVSS 9,3, è una vulnerabilità di pre-authentication authorization bypass che interessa Barracuda Email Security Gateway (ESG). Il difetto consente, nelle condizioni descritte dalla divulgazione tecnica, di raggiungere una funzione di importazione della configurazione senza completare l’autenticazione prevista. CVE-2026-111560, valutata CVSS 8,6, riguarda invece una command injection nella gestione di un parametro di configurazione relativo al fuso orario, attraverso il quale un amministratore autenticato può arrivare all’esecuzione di comandi del sistema operativo con privilegi root. Il bollettino originale di Barracuda precisa che la combinazione delle vulnerabilità può permettere di aggirare i controlli di autorizzazione e ottenere accesso root. La superficie interessata comprende Email Security Gateway, Web Application Firewall, Web Security Gateway, Message Archiver, WAF Control Center e Load Balancer ADC, ma non tutti i prodotti sono vulnerabili a entrambe le CVE: il bypass iniziale riguarda specificamente ESG, mentre la command injection interessa una famiglia più ampia di dispositivi. Questa distinzione è fondamentale per valutare la possibilità di concatenare i difetti. L’attaccante deve poter raggiungere l’interfaccia amministrativa interessata; non significa necessariamente che debba possedere credenziali valide per sfruttare il bypass pre-autenticazione. Barracuda ha già distribuito le correzioni e invita i clienti a controllare firmware e patch effettivamente installate.

Le patch Barracuda richiedono verifiche sugli accessi amministrativi

La gestione dell’emergenza Barracuda è concentrata su un insieme di patch specifiche per prodotto. Per Email Security Gateway sono previste BNSF-40425 e BNSF-40430, secondo la versione installata; per gli altri dispositivi il produttore indica BNADC-16586, BNMA-32468, BNWF-60060 e BNYF-24789, da applicare alle rispettive famiglie interessate. Gli amministratori devono verificare che l’aggiornamento sia stato effettivamente ricevuto, soprattutto quando la distribuzione automatica delle patch è stata disabilitata oppure il firmware risulta particolarmente arretrato. Barracuda raccomanda inoltre di limitare l’accesso alle interfacce amministrative alle reti interne considerate attendibili, utilizzando opportuni controlli di rete per impedire collegamenti provenienti da ambienti non autorizzati. Il precedente storico degli attacchi contro Barracuda Email Security Gateway attribuiti ad attori collegati alla Cina mostra quanto la compromissione di un dispositivo di sicurezza possa trasformarsi in un problema per l’intera organizzazione. Tuttavia, quel caso riguardava CVE-2023-2868, una vulnerabilità differente per la quale erano stati documentati attacchi reali. Non esistono elementi, negli advisory attuali, per attribuire le nuove vulnerabilità alla stessa campagna o descriverle come già sfruttate. La priorità rimane quindi la riduzione preventiva della superficie d’attacco, accompagnata dalla verifica delle versioni firmware e dell’effettiva applicazione delle correzioni.

Continua con:

Barracuda corregge vulnerabilità zero-day

Ubuntu senza patch per CVE-2026-80521: exploit evade i container e prende root

Per le aziende italiane il rischio dipende dall’esposizione reale dei sistemi

Le vulnerabilità corrette da Red Hat e Barracuda mostrano due modalità differenti attraverso cui un aggressore può raggiungere componenti infrastrutturali particolarmente sensibili. Nel caso Linux, il rischio nasce direttamente dalla gestione delle connessioni di rete nel kernel; per Barracuda, invece, è legato alle funzionalità amministrative degli appliance e alla possibilità di concatenare vulnerabilità di autorizzazione ed esecuzione dei comandi. Per le aziende italiane che utilizzano RHEL, Ubuntu, OpenShift o dispositivi Barracuda, la valutazione deve partire dall’inventario dei sistemi, dalle versioni realmente installate e dalla raggiungibilità delle interfacce interessate. Le correzioni disponibili devono essere distribuite con priorità adeguata, verificando anche i riavvii e le eventuali dipendenze operative. Le regole temporanee di filtraggio IPv4 proposte da Red Hat possono ridurre l’esposizione, ma non sostituiscono gli aggiornamenti e richiedono test preventivi per evitare interferenze con il traffico legittimo. Non risultano confermati attacchi attivi che sfruttino queste tre vulnerabilità, ma la disponibilità di patch e la gravità degli impatti rendono ingiustificato rinviare le verifiche. La differenza decisiva, per la sicurezza infrastrutturale, rimane quella tra conoscere l’esistenza di una correzione e assicurarsi che il sistema in produzione sia effettivamente protetto.