Firewall e VPN sotto attacco: SonicWall, Barracuda e Check Point da aggiornare subito

Nella prima metà di novembre 2026 tre produttori di apparati di sicurezza molto diffusi hanno confermato attacchi in corso contro i propri dispositivi: SonicWall (firewall e VPN), Barracuda (gateway di posta e altri apparati) e Check Point (firewall). L’agenzia statunitense CISA ha inserito le relative falle nel suo catalogo delle vulnerabilità sfruttate il 6, il 10 e il 13 novembre.

Firewall, VPN e filtri antispam stanno al confine tra Internet e la rete dell’ufficio. Se vengono compromessi, chi attacca si trova già dentro. Per una PMI ticinese la domanda pratica è semplice: che apparato abbiamo, con quale versione, e chi lo aggiorna?

SonicWall: la VPN può aggirare l’autenticazione a più fattori

Nell’avviso SNWLID-2026-0014 SonicWall corregge sette vulnerabilità di SonicOS, il sistema dei firewall Gen7 e Gen8 (serie TZ, NSa, NSsp e NSv). Una, CVE-2026-19868, secondo il produttore potrebbe essere già sfruttata: se l’accesso alla VPN SSL avviene tramite SAML, un utente con credenziali valide per un altro metodo di autenticazione (per esempio LDAP o RADIUS configurati sul firewall) può aggirare i controlli SAML e con essi l’autenticazione a più fattori. SonicWall le assegna un CVSS di 7.1 e precisa che riguarda solo chi usa SAML per gli accessi VPN.

Le altre correzioni toccano l’interfaccia di gestione (due falle con CVSS 8.8) e alcuni errori che possono bloccare il servizio VPN. Versioni indicate da SonicWall:

Se l’aggiornamento non è subito possibile e si usa SAML, SonicWall indica come soluzione temporanea di disattivare i server LDAP, RADIUS e TACACS+ configurati sul firewall.

Barracuda: gateway di posta presi di mira dall’interfaccia di amministrazione

Il 2 novembre Barracuda ha pubblicato un avviso su due falle, aggiornato il 9 novembre con la conferma di attacchi contro «un piccolo numero di organizzazioni»:

• CVE-2026-116606 nell’Email Security Gateway (ESG): aggira l’autorizzazione senza credenziali e permette di modificare la configurazione dell’apparato. Barracuda indica un punteggio di 9.3. Serve però che l’interfaccia di amministrazione sia raggiungibile da chi attacca.
• CVE-2026-111560: un’iniezione di comandi (punteggio 8.6) presente anche in Load Balancer ADC, Message Archiver, WAF, WAF Control Center e Web Security Gateway. Combinata con la prima, secondo il produttore permette di ottenere il controllo completo del dispositivo.

Barracuda ha distribuito le patch (per l’ESG BNSF-40425 o BNSF-40430, a seconda della versione) e raccomanda di verificare che siano state applicate, di riattivare l’aggiornamento automatico se è stato spento e di limitare l’accesso alle interfacce di amministrazione alla rete interna.

Check Point: dal portale VPN ai privilegi di amministratore

Il 12 novembre Check Point ha descritto una catena di attacco contro gateway non aggiornati, osservata tra il 30 ottobre e il 4 novembre (avviso di Check Point). L’ingresso avveniva tramite la falla PHP2Shell (CVE-2026-109618 e CVE-2026-109619) nel portale Mobile Access, la stessa vulnerabilità PHP di cui abbiamo scritto in ottobre. Poi gli attaccanti sfruttavano CVE-2026-123039 (CVSS 7.8) per ottenere i privilegi di root sul sistema Gaia. Check Point parla di qualche decina di sistemi compromessi in una sola regione; le correzioni per PHP2Shell erano disponibili dal 23 ottobre.

Secondo l’articolo sk1000362 la correzione è inclusa nei Jumbo Hotfix di novembre: R82.20 dal Take 14, R82.10 dal Take 52, R82 dal Take 132 e R81.20 dal Take 174. Le versioni R81 e R81.10, anch’esse interessate, non sono più supportate: vanno portate a una versione corrente. I firewall Spark non sono toccati da CVE-2026-123039, ma secondo Check Point lo sono da PHP2Shell.

Cosa fare questa settimana

1. Sapere che apparato c’è in ufficio. Marca, modello e versione del firewall, della VPN e dell’eventuale filtro antispam. Se il dato non è noto, va chiesto al fornitore IT.
2. Aggiornare alle versioni indicate nelle tabelle e negli avvisi qui sopra, e farsi confermare per iscritto la versione installata.
3. Chiudere l’interfaccia di gestione verso Internet. L’amministrazione del firewall dovrebbe essere raggiungibile solo dalla rete interna o tramite un accesso dedicato. Vale lo stesso principio dei servizi esposti da verificare.
4. Controllare che non sia già successo qualcosa. Aggiornare chiude la falla, ma non rimuove un intruso già entrato. Chiedere al fornitore di verificare accessi VPN insoliti, nuovi account amministratore e modifiche di configurazione non previste; Check Point e Barracuda pubblicano indicazioni specifiche per questo controllo.
5. Rivedere gli accessi VPN. In caso di dubbio, cambiare le password degli utenti VPN e verificare che l’autenticazione a più fattori funzioni davvero per tutti: vedi i cinque livelli di sicurezza degli accessi.
6. Sostituire gli apparati fuori supporto. Un firewall che non riceve più aggiornamenti resta esposto a ogni nuova falla.

Non pubblichiamo dettagli su come sfruttare queste falle: l’obiettivo è aggiornare e verificare.

Se c’è stata un’intrusione: segnalazioni

• Protezione dei dati (nLPD). Se sono stati esposti dati personali e la violazione comporta verosimilmente un rischio elevato per le persone interessate, l’articolo 24 della legge sulla protezione dei dati prevede la notifica all’IFPDT il prima possibile. Le linee guida dell’IFPDT aiutano a valutare il caso.
• UFCS. Per la maggior parte delle PMI la segnalazione all’UFCS è volontaria, ma utile. I gestori di infrastrutture critiche hanno invece l’obbligo di segnalare i ciberattacchi entro 24 ore dalla scoperta.

Domande frequenti

Il nostro firewall è di un’altra marca: possiamo stare tranquilli?

Non per questo. Negli ultimi mesi falle sfruttate hanno colpito apparati di quasi tutti i produttori. Le regole restano le stesse: aggiornamenti regolari, gestione non esposta su Internet e controllo degli avvisi del produttore.

Abbiamo già aggiornato: basta così?

Se l’aggiornamento è arrivato dopo l’inizio degli attacchi, conviene un controllo dei registri e degli account. Gli attacchi a Check Point, per esempio, sono iniziati il 30 ottobre.

Non usiamo SAML per la VPN SonicWall: dobbiamo aggiornare?

Sì. La falla già sfruttata riguarda solo SAML, ma lo stesso aggiornamento corregge altre sei vulnerabilità, tra cui due nell’interfaccia di gestione.

Il nostro approccio

ElaraTeq Sagl supporta PMI e studi in Ticino nella verifica degli apparati di rete, nella pianificazione degli aggiornamenti e nella configurazione sicura degli accessi remoti (consulenza, hosting in Svizzera). Per un controllo della vostra situazione potete contattarci.

Fonti

• SonicWall PSIRT, SNWLID-2026-0014, SonicWall SonicOS Affected By Multiple Vulnerabilities, aggiornato il 9 novembre 2026
• Barracuda, Pre-Authentication Authorization Bypass and Command Injection Vulnerabilities in Certain Barracuda Products, aggiornato il 9 novembre 2026
• Check Point, sk1000362, CVE-2026-123039, 12 novembre 2026
• Check Point, Security Advisory: Active Exploitation of PHP2Shell and Local Privilege Escalation
• NIST NVD, CVE-2026-19868, CVE-2026-116606, CVE-2026-111560 e CVE-2026-123039
• CISA, Known Exploited Vulnerabilities Catalog (aggiunte del 6, 10 e 13 novembre 2026)
• NCSC Paesi Bassi, Kwetsbaarheden in SonicOS van SonicWall met actief misbruik, 9 novembre 2026
• UFCS, Obbligo di segnalare ciberattacchi contro le infrastrutture critiche
• IFPDT, Linee guida sulla notifica di violazioni della sicurezza dei dati