Barracuda Ürünlerinde Kritik Açık Bulundu: Saldırganlar Root Yetkisi Alabilir
Barracuda Networks, birden fazla güvenlik ürününü etkileyen iki güvenlik açığının saldırganlara cihazlarda root yetkisiyle komut çalıştırma imkânı verebildiği konusunda müşterilerini uyardı. CVE-2026-116606 ve CVE-2026-111560 kodlarıyla izlenen açıklar, Email Security Gateway cihazlarında yetkilendirme kontrollerinin aşılmasına ve diğer bazı ürünlerde işletim sistemi komutlarının yönetici ayrıcalıklarıyla yürütülmesine yol açabiliyor. Şirket, etkilenen ürünler için güvenlik yamalarını yayınladığını belirterek müşterilerinden ürün yazılımlarını güncellemelerini ve yönetim arayüzlerine erişimi güvenilir ağlarla sınırlandırmalarını istedi.
Barracuda Açıkları Saldırganlara Root Yetkisi Kazandırabiliyor
Barracuda’nın güvenlik duyurusuna göre ilk açık olan CVE-2026-116606, Email Security Gateway (ESG) ürünündeki bir kimlik doğrulama zayıflığından kaynaklanıyor. Söz konusu güvenlik sorunu, saldırganların cihazın genel yapılandırmasını değiştirmesine kapı aralayabiliyor. İkinci açık CVE-2026-111560 ise yönetici yetkilerine sahip bir saldırganın işletim sistemi komutlarını sisteme en yüksek ayrıcalık düzeyi olan root yetkisiyle çalıştırmasına neden olabiliyor.
Barracuda, iki açığın birlikte kullanılması durumunda saldırganların yetkilendirme kontrollerini aşarak etkilenen cihaza root erişimi elde edebileceğini bildirdi. Bununla birlikte başarılı bir saldırı için hedef cihazın yönetim arayüzüne erişim gerekiyor. Bu koşul, cihazların yönetim panellerinin internete açık bırakılmamasını ve erişim izinlerinin dikkatle yapılandırılmasını önemli hale getiriyor.
Root erişimi, saldırgana cihaz üzerinde geniş kapsamlı kontrol sağlayabildiği için kurumsal güvenlik açısından ciddi risk oluşturuyor. Böyle bir erişim, ürünün yapılandırmasının değiştirilmesine, komutların yetkisiz biçimde çalıştırılmasına veya cihazın güvenlik işlevlerinin kötüye kullanılmasına zemin hazırlayabiliyor.
Hangi Barracuda Ürünleri Güvenlik Açıklarından Etkileniyor?
Barracuda’nın duyurusunda altı ürün ailesi için etkilenen bileşenler ve uygulanması gereken yamalar listeleniyor. CVE-2026-116606 yalnızca Email Security Gateway ürününü etkilerken CVE-2026-111560 daha geniş bir ürün grubunda yer alıyor.
Etkilenen ürünler ile ilgili yama bilgileri şöyle sıralanıyor:
- Email Security Gateway (ESG): Her iki güvenlik açığından etkileniyor. 9.4.017 ve üzeri sürümler için BNSF-40425, daha eski sürümler için BNSF-40430 yaması belirtiliyor.
- Load Balancer ADC: CVE-2026-111560 açığından etkileniyor. BNADC-16586 yaması uygulanmalı.
- Message Archiver (BMA): CVE-2026-111560 açığı için BNMA-32468 yaması listeleniyor.
- WAF Control Center (WCC): CVE-2026-111560 açığına karşı BNWF-60060 yaması gerekiyor.
- Web Application Firewall (WAF): CVE-2026-111560 açığı için BNADC-16586 yaması belirtiliyor.
- Web Security Gateway (WSG): CVE-2026-111560 açığına karşı BNYF-24789 yaması listeleniyor.
Yöneticilerin yalnızca ürün adını kontrol etmesi yeterli olmuyor; kullanılan sürümün de ilgili yama gereksinimleriyle karşılaştırılması gerekiyor. Barracuda, müşterilerinin resmi güvenlik duyurusundaki düzeltme yönergelerini incelemesini ve cihazların güncel ürün yazılımıyla çalıştığını doğrulamasını tavsiye ediyor.
Barracuda ürünleri, geçmişte de saldırganların aktif olarak kullandığı kritik güvenlik açıklarıyla gündeme gelmişti. 2023 yılında UNC4841 adlı saldırı grubu, Email Security Gateway cihazlarını hedef alan CVE-2023-7102 açığından yararlanarak güncellenmemiş sistemlerde rastgele kod çalıştırmaya çalıştı.
Aynı yıl UNC4841, CVE-2023-2868 kodlu başka bir sıfır gün açığını da siber casusluk operasyonlarında kullandı. Barracuda, söz konusu açığın en az Ekim 2022’den itibaren istismar edildiğini açıklamıştı. Saldırganların bu kampanyada daha önce bilinmeyen SeaSpy ve Saltwater zararlı yazılımlarını dağıttığı, ele geçirilen sistemlerden veri topladığı bildirildi.
Siber güvenlik şirketi Mandiant’ın değerlendirmesine göre 2023 kampanyasında saldırıya uğrayan cihazların yaklaşık üçte biri dünya genelindeki kamu kurumlarına aitti. İhlallerin önemli bir bölümü Ekim-Aralık 2022 döneminde gerçekleşti. Geçmişteki olaylar, kurumsal e-posta güvenliği cihazlarının hedef alınmasının veri güvenliği ve kurum içi ağların korunması açısından ciddi sonuçlar doğurabildiğini ortaya koyuyor.
Kurumlar Güvenlik Açıklarına Karşı Hangi Adımları Atmalı?
Barracuda, müşterilerinden etkilenen cihazlara ilgili güvenlik yamalarını uygulamalarını ve sistemlerini güncel ürün yazılımına yükseltmelerini istiyor. Şirket ayrıca yönetim arayüzlerine erişimin uygun ağ kontrolleriyle sınırlandırılmasını, yalnızca güvenilir iç ağlardan bağlantıya izin verilmesini öneriyor.
Sistem yöneticilerinin ilk aşamada ürün envanterini kontrol etmesi, etkilenen sürümleri belirlemesi ve ilgili yamaları gecikmeden yüklemesi gerekiyor. Yönetim arayüzlerine yönelik erişim kayıtlarının incelenmesi de yetkisiz bağlantı girişimlerinin veya olağan dışı yönetim işlemlerinin belirlenmesine yardımcı olabilir.
Barracuda, 2003 yılında kurulan ve dünya genelinde 200 binden fazla müşteriye hizmet veren bir siber güvenlik şirketi olarak küçük ve orta ölçekli işletmelerden büyük kuruluşlara, yönetilen hizmet sağlayıcılarına kadar geniş bir müşteri kitlesine sahip. Şirketin ürünlerini kullanan kurumların güncelleme ve erişim kontrollerini birlikte uygulaması, root yetkisiyle komut çalıştırılmasına yol açabilecek riskleri azaltmak açısından önem taşıyor.
