Barracuda Cihazlarında Root Erişimi Sağlayan Kritik Zafiyetler Yamalandı

Barracuda, popüler Email Security Gateway (ESG) cihazlarını hedef alan ve birleştirildiğinde saldırganlara root erişimi sağlayan iki kritik zafiyeti yamaladı. Güvenlik araştırmacıları tarafından ortaya çıkarılan bu açıklar, cihazların küresel yapılandırmasının yetkisiz bir şekilde değiştirilmesine ve işletim sistemi komutlarının en üst düzey yetkilerle çalıştırılmasına olanak tanıyor.

Söz konusu zafiyetlerden ilki olan CVE-2026-116606, 9.3 CVSS puanıyla derecelendirilen bir kimlik doğrulama atlama açığı olarak öne çıkıyor. Bu hata, kimlik doğrulaması yapmamış bir saldırganın, yapılandırma içe aktarma işlevini tetikleyerek sisteme özel olarak hazırlanmış bir yedekleme arşivini yüklemesine izin veriyor. Sadece ESG ürünlerini etkileyen bu durum, cihazın temel ayarlarının kontrolünü saldırganın eline geçirebiliyor.

İlginizi çekebilir · Siber GüvenlikCycurion, Tehditleri Önceden Tespit Eden Yapay Zeka Tabanlı Habit Platformunu Duyurdu

İkinci zafiyet olan CVE-2026-111560 ise 8.6 CVSS puanına sahip bir komut enjeksiyonu açığıdır. Saat dilimi yapılandırma ayarlarında yer alan bu hata, ESG'nin yanı sıra Load Balancer Application Delivery Controller (ADC), Message Archiver, WAF Control Center, Web Application Firewall (WAF) ve Web Security Gateway (WSG) ürünlerini de etkiliyor. Yönetici yetkilerine sahip bir saldırganın bu açığı kullanarak sistem üzerinde kök dizin seviyesinde komut çalıştırabildiği belirtiliyor.

Barracuda, her iki zafiyetin de yönetici arayüzüne erişim gerektirdiğini vurgulayarak, bu arayüzlerin yalnızca güvenilir iç ağlardan erişilebilir tutulması gerektiğini hatırlatıyor. Şirket, kullanıcıların en yeni firmware sürümüne güncellemeleri ve otomatik yama özelliğinin aktif olduğundan emin olmaları konusunda uyarıda bulunuyor. Şu ana kadar bu açıkların gerçek dünya saldırılarında kullanıldığına dair bir bulgu paylaşılmadı.