El 2023 n'hi havia prou amb pedaçar l'aparell; la fitxa del 2026 demana saber apagar-lo

El 10 de novembre CISA va posar al seu catàleg de vulnerabilitats explotades dos errors d'aparells Barracuda i els va posar data límit el dia 13. Tres dies. El pedaç del fabricant existia des del 2 de novembre. El que ens ha cridat l'atenció no és el termini: és el que aquella fitxa exigeix comparat amb el que exigia la del mateix aparell el 2023. Aleshores demanava una frase. Ara demana una llista, i l'última línia d'aquesta llista contempla deixar d'utilitzar el producte si no hi ha mitigació disponible.

La cadena, amb les paraules de la fitxa

Són dos CVE i calen tots dos. El primer, CVE-2026-116606, afecta només l'Email Security Gateway, la passarel·la que filtra el correu. La descripció del catàleg diu que és un salt d'autenticació «per una via o canal alternatius» que permet a un atacant remot sense autenticar «invocar una funció d'importació de configuració i restaurar un arxiu de còpia manipulat i compatible», amb el resultat de modificar «la configuració global de l'aparell». El segon, CVE-2026-111560, és una injecció d'ordres del sistema que permet a «un administrador autenticat» executar ordres amb privilegis de root «quan el valor manipulat de zona horària es processa després».

Encadenats, el primer et posa dins com a administrador i el segon et dona root. L'avís de Barracuda, publicat el 2 de novembre i actualitzat el 5 i el 9, ho diu sense adorns: «Si s'exploten en combinació, aquestes vulnerabilitats podrien permetre a un atacant saltar-se els controls d'autorització i obtenir accés root al dispositiu». Puntuacions del mateix avís: 9,3 i 8,6. El pedaç de la passarel·la és BNSF-40425 per a 9.4.017 o posterior i BNSF-40430 per sota d'aquesta versió. Als altres cinc productes de la marca que apareixen a la llista —Load Balancer ADC, Message Archiver, WAF Control Center, Web Application Firewall i Web Security Gateway— només els afecta el segon CVE.

La nostra lectura de la cadena, que és opinió i no cita: l'interessant és on són les dues portes. La primera no és un error del formulari de login; és una funció que accepta un fitxer, i el fitxer que fa de clau és una còpia de configuració, és a dir, un artefacte del procediment de recuperació. La segona executa codi a partir d'un camp de zona horària. Si demà t'asseus a auditar una passarel·la de correu, aquests dos llocs no són a la teva llista. El desplegable de la zona horària no és a la llista de ningú.

El mateix aparell, 1.264 dies abans

Aquesta passarel·la ja havia estat al catàleg. El 26 de maig del 2023 va entrar CVE-2023-2868: validació incorrecta d'un fitxer .tar subministrat per l'usuari, que portava a injecció remota d'ordres. Un fitxer que puges a l'aparell acabant en codi. El mateix que ara, amb un altre format de fitxer i tres anys i mig de diferència. Vam posar les dues fitxes l'una al costat de l'altra i el que canvia no és l'aparell.

Entre les dues entrades hi ha 1.264 dies. En aquest temps el regulador ha deixat de donar per fet que pedaçar resol el problema. Et demana a més que miris si t'han entrat, que sàpigues què tens tret a Internet i que tinguis un pla per si el fabricant no arriba a temps. Això últim ja no es contesta pedaçant: es contesta en el disseny.

D'on surten els tres dies

No els va triar ningú a mà. El 10 de juny del 2026 CISA va publicar la directiva BOD 26-04, «Prioritizing Security Updates Based on Risk», que substitueix el termini calculat a partir del CVSS per un model de quatre variables. Les quatre, literals de la directiva: exposició de l'actiu («està l'actiu vulnerable exposat públicament?»), estat al catàleg («està la vulnerabilitat al catàleg de vulnerabilitats explotades conegudes de CISA?»), automatització de l'exploit («pot un adversari automatitzar tots els passos necessaris per explotar-la?») i impacte tècnic («obté l'adversari control parcial o control total de l'actiu vulnerable?»). D'aquí surten les finestres: tres dies amb triatge forense, tres dies, catorze, seixanta, o diferir a la propera actualització del sistema.

Dit d'una altra manera, i aquesta és la part que ens sembla aprofitable per a qualsevol que no sigui una agència federal: el termini ha deixat de ser només una propietat del CVE. Tres de les quatre variables descriuen l'error i et venen donades. La primera no: l'exposició de l'actiu la decideixes tu, el dia que instal·les l'aparell i cada vegada que algú obre un port «un moment». És l'única de les quatre que pots moure sense esperar ningú, i mou la finestra sencera.

El nostre recompte: «tres dies» ja no vol dir excepcional

A l'agost ja vam comptar això mateix sobre el fitxer del catàleg i vam escriure que el tram curt s'havia menjat els altres: 42 de les 48 altes posteriors a la directiva portaven tres dies. Hem tornat a descarregar el fitxer avui (versió 2026.11.10) per veure l'any sencer. Són 295 entrades:

Cinc mesos després, el tram curt s'endú una mica més de la meitat de l'any sencer. I el que a l'agost era una tendència ja es nota a la taula: les dues de Barracuda van a tres dies i el dia zero d'Outlook, que va entrar el mateix 10 de novembre, va al 24. El termini del catàleg ha deixat de servir per ordenar la cua, perquè la majoria porta el mateix número. Si busques un altre senyal a la fitxa, tampoc: les tretze entrades de novembre porten «Unknown» al camp d'ús conegut per campanyes de ransomware.

Les quatre variables, convertides en quatre preguntes teves

La directiva obliga les agències federals dels Estats Units i no t'obliga a tu. Però el model és gratis i es pot fer servir. Això és el que preguntem nosaltres quan entra un avís així:

De les quatre, la segona, la tercera i la quarta es llegeixen a l'avís i a la fitxa: ja estan escrites abans que hi arribis tu. La primera es contesta en fred, un dimarts qualsevol, amb un escaneig des de fora i una data apuntada. Si el dia de l'avís has de començar per esbrinar si l'andròmina està exposada, el termini ja és igual: arribes tard per un motiu que no té res a veure amb Barracuda.

L'ajust que decideix qui arriba tard

La documentació de la passarel·la descriu tres modes per a Apply Patches, a Advanced > Firmware Update: Automatic, que «busca pedaços cada hora i els aplica automàticament»; Manual, per aplicar-los a mà; i Disable, que fa que els pedaços «siguin visibles però no s'apliquin». I afegeix, textual: «Aquest és el mode per defecte». Hi ha un segon matís a la mateixa pàgina: fins i tot en automàtic, si cal reiniciar, l'aparell no es reinicia sol — «se't demanarà que reiniciïs l'aparell per completar l'actualització».

Ajunta les dates amb això. El pedaç va sortir el 2 de novembre. El catàleg va registrar l'explotació el 10. Vuit dies. Per a un aparell que ningú va treure del mode per defecte, vuit dies són vuit dies de res: el pedaç estava llistat a la interfície, visible, esperant. No ho diem com a retret al fabricant —que una passarel·la de correu no es reiniciï sola a les onze del matí és una decisió raonable, i Barracuda recomana activar el pedaçat automàtic—. Ho diem perquè aquest ajust és teu i la majoria no sap quin té posat. És una pregunta d'un minut que gairebé ningú no es fa fins que importa.

La pregunta que gairebé ningú no pot contestar

Tornem a la quarta exigència de la fitxa: «deixar d'utilitzar el producte si no hi ha mitigacions disponibles». Traduïda a una empresa de 60 persones, és aquesta: pots treure avui aquest aparell del camí? Per a una passarel·la de correu la resposta és un registre MX i una decisió de mitja hora. I gairebé mai no està escrita en cap lloc, perquè ningú no l'ha necessitat mai.

Aquí és on això deixa de ser una notícia de CVE i es converteix en la mateixa conversa de sempre: la fallada és inevitable, l'avaria és una decisió de disseny. La fallada és que un fabricant publiqui un 9,3 a la seva passarel·la —passa, i li passa a tothom—. L'avaria és no tenir cap camí per al teu correu que no travessi la caixa compromesa. Aquest exercici l'hem escrit ja dues vegades aquest any amb altres caixes: amb la consola que gestiona tots els teus equips i amb el pla de gestió d'un tallafocs. És el mateix patró i només canvia el nom del producte: com més central és la peça, menys preparat està ningú per apagar-la.

Quan NO córrer

Com ho treballem nosaltres

No som resellers d'una plataforma concreta: dissenyem, despleguem i mantenim infraestructura, i recomanem segons el cas. Així que d'aquí no en traiem una marca de passarel·la, en traiem quatre decisions. Que un aparell de seguretat no es confiï pel lloc on està endollat, que és la idea sencera de Zero Trust. Que la seva interfície d'administració visqui a la xarxa de gestió i no a Internet. Que l'inventari sàpiga quina versió corre cada caixa i amb quin mode de pedaçat. I que algú miri de debò el seu registre de canvis de configuració, que és la que ningú no fa per bona voluntat i acaba sent feina d'un servei gestionat de detecció i resposta amb la telemetria de l'aparell a dins.

I queda el que de debò canvia el resultat el dia de l'avís: tenir escrit per endavant com es treu cada peça central del camí. No perquè ho hagis de fer, que gairebé mai no es fa, sinó perquè arribarà un dia en què calgui decidir-ho en vint minuts i ningú no improvisa bé a aquella hora. Escriure-ho costa una tarda. No tenir-ho costa la tarda que no tens.

Fonts (verificades el 12-nov-2026): fitxer del catàleg de vulnerabilitats explotades conegudes de CISA, versió 2026.11.10 (descripcions literals i dates límit de CVE-2026-116606, CVE-2026-111560 i CVE-2023-2868; el recompte de terminis del 2026 és nostre, fet sobre aquest fitxer); directiva BOD 26-04 «Prioritizing Security Updates Based on Risk», 10-juny-2026 (les quatre variables i les finestres); avís de Barracuda «Pre-Authentication Authorization Bypass and Command Injection Vulnerabilities in Certain Barracuda Products», 2-nov-2026, actualitzat el 5 i el 9 (puntuacions, productes, pedaços i recomanacions); documentació del fabricant sobre «Apply Patches» (els tres modes i el mode per defecte).