Barracuda Güvenlik Açıkları Saldırılarda Kullanılıyor: Saldırganlar Root Erişimi Sağlıyor

Barracuda, Email Security Gateway (ESG) başta olmak üzere bazı ürünlerini etkileyen iki kritik güvenlik açığının saldırılarda kullanılmaya başlandığını duyurdu. CVE-2026-116606 ve CVE-2026-111560 kodlarıyla takip edilen açıklar, saldırganların cihaz yapılandırmasını değiştirmesine ve işletim sistemi komutlarını yönetici yetkileriyle çalıştırmasına yol açabiliyor. Şirket, etkilenen sistemler için güvenlik yamalarını yayınladı ve müşterilerine güncellemeleri gecikmeden yüklemeleri çağrısında bulundu.

Barracuda Açıkları Saldırganlara Root Yetkisi Kazandırıyor

Barracuda’nın tespit ettiği iki güvenlik açığı, farklı saldırı yöntemleriyle cihazların kontrolünü ele geçirmeyi hedefliyor. CVE-2026-116606 kodlu ilk açık, Email Security Gateway ürünündeki kimlik doğrulama zayıflığından kaynaklanıyor. Saldırganlar bu güvenlik sorununu kullanarak cihazın genel yapılandırma ayarlarını değiştirebiliyor.

CVE-2026-111560 kodlu ikinci açık ise kimlik doğrulaması yapılmadan işletim sistemi komutlarının sisteme enjekte edilmesine izin veriyor. Saldırganlar, bu komutları root yetkileriyle çalıştırarak etkilenen cihaz üzerinde en üst düzey erişim elde edebiliyor.

Barracuda, başarılı saldırıların hedef cihazların yönetim arayüzüne erişim gerektirdiğini belirtiyor. Şirket, iki güvenlik açığının birlikte kullanılması durumunda saldırganların yetkilendirme kontrollerini aşarak cihaz üzerinde tam yönetici erişimi kazanabileceği konusunda uyarıyor. Bu nedenle kuruluşların yönetim arayüzlerini yalnızca güvenilir iç ağlara açması ve uygun ağ erişim kontrollerini uygulaması gerekiyor.

Şirket, ilk güvenlik duyurusunu yayınladıktan yaklaşık bir hafta sonra yaptığı güncellemeyle açıkların gerçek saldırılarda kullanıldığını doğruladı. Barracuda’nın pazartesi akşamı güncellediği açıklamaya göre saldırganlar, sınırlı sayıdaki müşterinin sistemlerini hedef aldı.

Barracuda, saldırı faaliyetlerinin belirlenmesinin ardından kapsamlı bir müdahale süreci başlattığını ve etkilenen ürünler için güvenlik yamalarını yayınladığını açıkladı. Şirket, otomatik güncelleme özelliği etkin olan cihazlara yamaların uygulanmasını sağlıyor. Otomatik güncellemelerin kapalı olduğu sistemlerde ise yöneticilerin ilgili yamaları manuel olarak yüklemesi gerekiyor.

İki güvenlik açığı bütün Barracuda ürünlerini aynı şekilde etkilemiyor. CVE-2026-116606 yalnızca Email Security Gateway ürününde bulunurken CVE-2026-111560 daha geniş bir ürün grubunu kapsıyor.

Kuruluşların kullandıkları ürünleri ve sürümleri kontrol ederek uygun güvenlik yamalarını belirlemesi gerekiyor. Özellikle yönetim arayüzüne dış ağlardan erişim sağlanan sistemler, saldırı yüzeyini daraltmak için ayrıca incelenmeli.

Barracuda ürünleri geçmişte de kritik güvenlik açıkları üzerinden gerçekleştirilen saldırılara konu oldu. 2023 yılında şirket, UNC4841 adlı siber casusluk grubunun Email Security Gateway cihazlarını hedef almak için kullandığı CVE-2023-7102 açığını gidermişti.

Aynı yıl ortaya çıkan CVE-2023-2868 güvenlik açığı da Barracuda ESG cihazlarına yönelik sıfır gün saldırılarında kullanılmıştı. Şirket, söz konusu açığın Ekim 2022’den itibaren en az yedi ay boyunca istismar edildiğini açıklamıştı. Saldırganlar, SeaSpy ve Saltwater adlı zararlı yazılımları ele geçirilen cihazlara yerleştirerek veri hırsızlığı gerçekleştirmişti.

Mandiant’ın incelemelerine göre 2023 saldırı kampanyasında ihlal edilen sistemlerin yaklaşık üçte biri kamu kurumlarına aitti. Bu sistemlerin büyük bölümü Ekim-Aralık 2022 döneminde saldırıya uğramıştı.

2003 yılında kurulan Barracuda, dünya genelinde 200 binden fazla müşteriye hizmet veriyor. Şirketin müşteri kitlesinde küçük ve orta ölçekli işletmelerin yanı sıra büyük kuruluşlar ile yönetilen hizmet sağlayıcıları da bulunuyor. Yeni güvenlik açıklarının aktif saldırılarda kullanılması, özellikle Barracuda altyapısını kurumsal e-posta ve ağ güvenliği için kullanan kuruluşların güncelleme sürecini önceliklendirmesini gerektiriyor.