Barracuda, Email Security Gateway (ESG) başta olmak üzere bazı ürünlerini etkileyen iki kritik güvenlik açığının saldırılarda kullanılmaya başlandığını duyurdu. CVE-2026-116606 CVE-2026-111560 kodlarıyla takip edilen açıklar, saldırganların cihaz yapılandırmasını değiştirmesine işletim sistemi komutlarını yönetici yetkileriyle çalıştırmasına yol açabiliyor. Şirket, etkilenen sistemler için güvenlik yamalarını yayınladı müşterilerine güncellemeleri gecikmeden yüklemeleri çağrısında bulundu.
Barracuda Açıkları Saldırganlara Root Yetkisi KazandırıyorBarracuda’nın tespit ettiği iki güvenlik açığı, farklı saldırı yöntemleriyle cihazların kontrolünü ele geçirmeyi hedefliyor. CVE-2026-116606 kodlu ilk açık, Email Security Gateway ürünündeki kimlik doğrulama zayıflığından kaynaklanıyor. Saldırganlar güvenlik sorununu kullanarak cihazın genel yapılandırma ayarlarını değiştirebiliyor.
CVE-2026-111560 kodlu ikinci açık ise kimlik doğrulaması yapılmadan işletim sistemi komutlarının sisteme enjekte edilmesine izin veriyor. Saldırganlar, komutları root yetkileriyle çalıştırarak etkilenen cihaz üzerinde en üst düzey erişim elde edebiliyor.
Barracuda, başarılı saldırıların hedef cihazların yönetim arayüzüne erişim gerektirdiğini belirtiyor. Şirket, iki güvenlik açığının birlikte kullanılması durumunda saldırganların yetkilendirme kontrollerini aşarak cihaz üzerinde tam yönetici erişimi kazanabileceği konusunda uyarıyor. nedenle kuruluşların yönetim arayüzlerini yalnızca güvenilir iç ağlara açması uygun ağ erişim kontrollerini uygulaması gerekiyor.
Şirket, ilk güvenlik duyurusunu yayınladıktan yaklaşık hafta sonra yaptığı güncellemeyle açıkların gerçek saldırılarda kullanıldığını doğruladı. Barracuda’nın pazartesi akşamı güncellediği açıklamaya göre saldırganlar, sınırlı sayıdaki müşterinin sistemlerini hedef.
Barracuda, saldırı faaliyetlerinin belirlenmesinin ardından kapsamlı müdahale süreci başlattığını etkilenen ürünler için güvenlik yamalarını yayınladığını açıkladı. Şirket, otomatik güncelleme özelliği etkin olan cihazlara yamaların uygulanmasını sağlıyor. Otomatik güncellemelerin kapalı olduğu sistemlerde ise yöneticilerin ilgili yamaları manuel olarak yüklemesi gerekiyor.
İki güvenlik açığı bütün Barracuda ürünlerini aynı şekilde etkilemiyor. CVE-2026-116606 yalnızca Email Security Gateway ürününde bulunurken CVE-2026-111560 daha geniş ürün grubunu kapsıyor.
Etkilenen ürünCVE-2026-116606CVE-2026-111560Güvenlik yamasıEmail Security Gateway (ESG)EvetEvetBNSF-40425 (9.4.017 üzeri), BNSF-40430 (9.4.017 öncesi)Load Balancer ADCHayırEvetBNADC-16586Message Archiver (BMA)HayırEvetBNMA-32468WAF Control Center (WCC)HayırEvetBNWF-60060Web Application Firewall (WAF)HayırEvetBNADC-16586Web Security Gateway (WSG)HayırEvetBNYF-24789Kuruluşların kullandıkları ürünleri sürümleri kontrol ederek uygun güvenlik yamalarını belirlemesi gerekiyor. Özellikle yönetim arayüzüne dış ağlardan erişim sağlanan sistemler, saldırı yüzeyini daraltmak için ayrıca incelenmeli.
Barracuda ürünleri geçmişte kritik güvenlik açıkları üzerinden gerçekleştirilen saldırılara konu. 2023 yılında şirket, UNC4841 adlı siber casusluk grubunun Email Security Gateway cihazlarını hedef almak için kullandığı CVE-2023-7102 açığını gidermişti.
Aynı yıl ortaya çıkan CVE-2023-2868 güvenlik açığı Barracuda ESG cihazlarına yönelik sıfır gün saldırılarında kullanılmıştı. Şirket, söz konusu açığın Ekim 2022’den itibaren en az yedi ay boyunca istismar edildiğini açıklamıştı. Saldırganlar, SeaSpy Saltwater adlı zararlı yazılımları ele geçirilen cihazlara yerleştirerek veri hırsızlığı gerçekleştirmişti.
Mandiant’ın incelemelerine göre 2023 saldırı kampanyasında ihlal edilen sistemlerin yaklaşık üçte biri kamu kurumlarına aitti. sistemlerin büyük bölümü Ekim-Aralık 2022 döneminde saldırıya uğramıştı.
2003 yılında kurulan Barracuda, dünya genelinde 200 binden fazla müşteriye hizmet veriyor. Şirketin müşteri kitlesinde küçük orta ölçekli işletmelerin yanı sıra büyük kuruluşlar yönetilen hizmet sağlayıcıları bulunuyor. Yeni güvenlik açıklarının aktif saldırılarda kullanılması, özellikle Barracuda altyapısını kurumsal e-posta ağ güvenliği için kullanan kuruluşların güncelleme sürecini önceliklendirmesini gerektiriyor.
