Barracuda ESG'de iki açık birlikte kullanılınca cihazda root yetkisi alınabiliyor

Barracuda, 2 Kasım’da yayımladığı güvenlik danışma notunda, bazı ürünlerinde biri yetki kontrolünü atlatmaya, diğeri komut enjeksiyonuna (command injection) izin veren iki açık bulunduğunu duyurdu. Barracuda’ya göre iki açık birlikte kullanıldığında saldırgan yetki kontrollerini atlatıp cihazda root erişimi elde edebiliyor. Şirket, düzeltme sürecini hemen başlattığını ve etkilenen ürünler için güvenlik yamalarını yayımladığını açıkladı. Açıkların CVE kayıtlarını Mandiant yayımladı ve iki açık için de aynı gün ayrı danışma notları paylaştı.

Açıklar

CVE-2026-116606 yalnızca Email Security Gateway’i (ESG) etkiliyor. CVE kaydına göre açık, ESG’nin 9.4.0.030 öncesi sürümlerinde, kimliği doğrulanmamış uzaktaki bir saldırganın bir yapılandırma içe aktarma işlevini çağırmasına ve özel hazırlanmış, uyumlu bir yedek arşivini geri yükleyerek cihazın genel yapılandırmasını izinsiz değiştirmesine yol açıyor. Kayıttaki CVSS 4.0 puanı 9.3. Künyedeki “kritik” önem derecesi bu puana dayanıyor, Barracuda ise açığı High olarak sınıflandırıyor.

CVE-2026-111560, Barracuda’nın ortak kodunu kullanan birden fazla ürünü etkiliyor. CVE kaydına göre saat dilimi ayarı alanına girilen kabuk özel karakterleri temizlenmiyor ve kimliği doğrulanmış bir yönetici, bu alana yazdığı değer işlendiğinde root yetkisiyle çalışan işletim sistemi komutları çalıştırabiliyor. Kayıttaki CVSS 4.0 puanı 8.6.

CVE kaydı ve Mandiant’ın danışma notu, ilk açığı kimlik doğrulaması gerektirmeyen bir açık olarak tanımlıyor ve Mandiant istismar edilebilirliğini yüksek olarak değerlendiriyor. Barracuda’nın danışma notu da başarılı bir istismar için saldırganın ürünün yönetim arayüzüne erişebilmesi gerektiğini yazıyor. Danışma notu ilk yayımlandığında iki açık için de “Authentication Required: Yes, administrative access” bilgisini veriyordu. Barracuda 5 Kasım’da CVE-2026-116606 için bu bilgiyi “No (Administrative UI Access Required)” olarak değiştirdi.

Barracuda ABD Doğu saatiyle 9 Kasım akşamı danışma notunu güncelleyerek açıkların az sayıda kurumu etkileyen saldırılarda kullanıldığını açıkladı. CISA iki açığı 10 Kasım’da KEV listesine ekledi. Barracuda ESG’deki CVE-2023-2868 açığı ise 2023’te saldırılarda kullanılmış ve CISA’nın KEV listesine eklenmişti.

Etkilenen ürünler ve yamalar

Barracuda’nın danışma notundaki yamalar ve Mandiant’ın danışma notundaki etkilenen sürümler şöyle:

• Email Security Gateway (ESG): iki açıktan da etkileniyor. CVE-2026-116606 için 9.4.0.030 öncesi, CVE-2026-111560 için 9.4.0.27 ve öncesi sürümler etkileniyor. Yamalar 9.4.017 ve sonrası için BNSF-40425, 9.4.017 öncesi için BNSF-40430.
• Load Balancer Application Delivery Controller (ADC): 6.4.0 ve öncesi, yama BNADC-16586.
• Web Application Firewall (WAF): 11.0.1 ve öncesi, yama BNADC-16586.
• Web Security Gateway (WSG): 16.1.100.100 ve öncesi, yama BNYF-24789.
• Message Archiver (BMA): 5.5.4.0 ve öncesi, yama BNMA-32468.
• WAF Control Center (WCC): 2.2.1 ve öncesi, yama BNWF-60060.

ESG dışındaki ürünler yalnızca CVE-2026-111560’tan etkileniyor.

Önerilen önlemler

Barracuda, müşterilerinden şunları istiyor:

• Cihazların en son yazılım sürümünde olduğunu ve bütün güvenlik yamalarının uygulandığını kontrol edin. Yazılımı birkaç sürüm geride kalan cihazlarda birden fazla güncelleme gerekebilir.
• Yama otomatik olarak uygulanmadıysa en kısa sürede elle uygulayın. Otomatik yamayı kapatanlar cihazları otomatik yama alacak şekilde ayarlamalı.
• Yönetim arayüzlerine erişimi güvenilir iç ağlarla sınırlayın. Barracuda’ya göre yönetim arayüzü internetten erişilebilir olmayan kurumlar bu saldırı yoluna daha az açık.