Barracuda ESG, WAF ve Load Balancer ADC'de root erişimine uzanan iki açık yamalandı
Barracuda, Email Security Gateway başta olmak üzere altı üründe ön kimlik doğrulamasız yetki atlatma ve komut enjeksiyonu açıklarını giderdi. Birlikte kullanıldığında açıklar cihazda root erişimi sağlayabiliyor.
Barracuda Networks, 2 Kasım 2026'da yayımladığı güvenlik bildirimiyle birden fazla üründe iki açığı kapattı. Açıklar ayrı ayrı "yüksek" olarak sınıflansa da, üreticiye göre birlikte istismar edildiklerinde saldırganın yetkilendirme denetimlerini aşarak cihazda root erişimi elde etmesine yol açabiliyor.
İki açık, altı ürün
CVE-2026-116606(CVSS 9.3): Email Security Gateway'deki ön kimlik doğrulamasız yetki atlatma açığı. Saldırganın cihazın genel yapılandırmasını değiştirmesine imkân veriyor.CVE-2026-111560(CVSS 8.6): İşletim sistemi komutlarının root yetkisiyle çalıştırılmasına yol açan komut enjeksiyonu açığı.
Barracuda 5 Kasım'da bildirimini güncelleyerek CVE-2026-116606 için kimlik doğrulama alanını "Hayır (yönetim arayüzüne erişim gerekli)" olarak değiştirdi. Yani saldırganın yönetici hesabına değil, yalnızca yönetim arayüzüne ulaşabilmesi yeterli.
Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›
| Ürün | Etkilendiği açık | Yama |
|---|---|---|
| Email Security Gateway (ESG) | İkisi de | BNSF-40425 (9.4.017+), BNSF-40430 (9.4.017 öncesi) |
| Load Balancer ADC | CVE-2026-111560 | BNADC-16586 |
| Message Archiver (BMA) | CVE-2026-111560 | BNMA-32468 |
| WAF Control Center (WCC) | CVE-2026-111560 | BNWF-60060 |
| Web Application Firewall (WAF) | CVE-2026-111560 | BNADC-16586 |
| Web Security Gateway (WSG) | CVE-2026-111560 | BNYF-24789 |
İstismar durumu
Bildirimde aktif istismara dair bir bilgi, teknik ayrıntı ya da kavram kanıtı yer almıyor. Barracuda, yönetim arayüzü internetten erişilemeyen kurumların daha az risk altında olduğunu vurguluyor. ESG'nin geçmişte de yoğun biçimde hedef alınmış bir ürün olduğu düşünüldüğünde, güncellemenin ertelenmemesi önem taşıyor.
Ne yapılmalı?
- Cihazın en güncel firmware sürümünde olduğunu ve tablodaki yamanın uygulandığını doğrulayın; otomatik uygulanmadıysa elle yükleyin.
- Otomatik yamayı kapatmış kurumlar, üreticinin önerisine uyarak bu özelliği yeniden açmayı değerlendirmeli.
- Birkaç sürüm geride kalan cihazlarda birden fazla güncelleme gerekebilir; gerekirse Barracuda desteğiyle iletişime geçin.
- Yönetim arayüzünü internete kapatın ve yalnızca güvenilir iç ağlardan erişime izin verin.
