Raftaki Barracuda Spam ve Virüs Güvenlik Duvarı cihazları ve şirket logosu; ESG açıklarının aktif istismar edildiği bildirildi

Barracuda Networks, 9 Kasım 2026 saat 21:00 EST'te güncellediği güvenlik danışmasında Email Security Gateway (ESG) ürününü etkileyen CVE-2026-116606 ve CVE-2026-111560 açıklarına yönelik az sayıda kuruluşu etkileyen istismar faaliyeti tespit ettiğini bildirdi. BleepingComputer da 10 Kasım 2026'da bu kaydı pazartesi akşamı yapılan danışma güncellemesi olarak aktardı; etkilenen kuruluş sayısı, ülke, kurum adı ve saldırgan grubu ise açıklanmadı.

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), 10 Kasım 2026'da yayımladığı katalog güncellemesiyle her iki açığı da Bilinen İstismar Edilen Güvenlik Açıkları (KEV) listesine ekledi. Etkilenen cihazın yönetim arayüzüne ağ erişimi sağlandığında iki açığın birlikte sömürülmesiyle kimlik doğrulamasız root erişimi elde edilebiliyor; Barracuda ürünler için yama yayımladı.

İki açık nasıl zincirleniyor

Mandiant takvimine göre Barracuda, CVE-2026-111560 açığını 15 Ekim 2026'da, CVE-2026-116606 açığını ise 22 Ekim 2026'da bildirdi; CVE kayıtları ile Mandiant danışmaları 2 Kasım 2026'da yayımlandı. Barracuda'nın 2 Kasım 2026 tarihli ilk danışması 5 Kasım 2026 saat 14:30 EST ve 9 Kasım 2026 saat 21:00 EST'te iki kez güncellendi.

Yalnızca Email Security Gateway ürününü etkileyen CVE-2026-116606 (CWE-288), kimlik doğrulama öncesi yetki atlatma açığı olarak sınıflandırılıyor. Mandiant'ın MNDT-2026-0042 danışmasına ve CVE kaydına göre 9.4.0.030 öncesi ESG sürümlerinde kimliği doğrulanmamış uzak bir saldırgan, yapılandırma içe aktarma işlevini çağırıp hazırlanmış uyumlu bir yedek arşivini geri yükleyerek cihazın genel yapılandırmasını değiştirebiliyor. Mandiant CNA kaydında açığın CVSS 4.0 puanı 9,3 (Barracuda danışmasında önem derecesi «High» ve CVSS 9,3) olarak yer alırken, NVD kaydı 3 Kasım 2026 itibarıyla «Awaiting Analysis» durumunda bulunuyor.

Barracuda, 5 Kasım 2026 güncellemesinde CVE-2026-116606 için kimlik doğrulama gereksinimi alanını «Yes, administrative access» ifadesinden «No (Administrative UI Access Required)» biçimine çevirdi. Bu düzeltmeye göre açık için oturum açma şartı aranmıyor ancak yönetim arayüzünün (Admin UI) saldırganın erişimine açık olması gerekiyor.

CVE-2026-111560 (CWE-78) ise ortak kodda yer alan bir işletim sistemi komut enjeksiyonu açığı. Mandiant'ın MNDT-2026-0041 danışmasına göre saat dilimi ayarında kabuk özel karakterleri temizlenmediği için kimliği doğrulanmış bir yönetici, bu değer işlendiğinde root yetkisiyle işletim sistemi komutu çalıştırabiliyor. CVSS 4.0 puanı 8,6 olan bu açık tek başına yönetici oturumu gerektiriyor; ancak Barracuda'ya göre yönetim arayüzüne erişim sağlandığında CVE-2026-116606 ile zincirlenerek yetki denetimleri atlatılabiliyor ve cihazda kimlik doğrulamasız root erişimi alınabiliyor.

Yamalar ve etkilenen ürünler

CVE-2026-116606 yalnızca ESG cihazlarını etkilerken, CVE-2026-111560 altı farklı Barracuda ürününü kapsıyor. Mandiant'ın bildirdiği etkilenen sürüm tavanları ve Barracuda Trust Center'da paylaşılan yama kodları ürünlere göre şöyle sıralanıyor:

Kaynaklarda ESG sürümleri için farklı sınırlar yer alıyor. Mandiant ve CVE kaydı CVE-2026-116606 için 9.4.0.030 öncesini işaret ederken, Barracuda Campus belgesi 9.4.0.029 veya sonrası ile 9.1 ve 9.4.0.027 arasındaki sürümler için güncelleme yayımlandığını ve 9.1 altındaki sürümlerden 9.4.0.029 sürümüne doğrudan atlanamayacağını belirtiyor.

Barracuda, yamanın otomatik uygulanmadığı cihazlarda güncellemenin elle ve en kısa sürede yüklenmesini, kapatılmışsa otomatik yama seçeneğinin yeniden açılmasını öneriyor. Şirket ayrıca yazılımı birkaç sürüm geride olan sistemlerde birden fazla güncelleme adımı gerekebileceğini ve yönetim arayüzü erişiminin güvenilir iç ağlarla sınırlandırılması gerektiğini kaydediyor.

CISA'nın listesi

CISA, 10 Kasım 2026 saat 22:03 TSİ'de (19:03 UTC) yayımladığı 2026.11.10 sürüm numaralı KEV güncellemesinde CVE-2026-116606'yı alternatif yol veya kanal üzerinden kimlik doğrulama atlatma açığı, CVE-2026-111560'ı ise birden fazla ürünü etkileyen işletim sistemi komut enjeksiyonu açığı olarak listeye aldı.

Katalogda her iki kayıt için de son giderim tarihi 13 Kasım 2026 olarak belirlendi ve adli bilişim triyajı («forensicTriage») alanı «Yes» şeklinde işaretlendi. BOD 26-04 direktifi çerçevesinde tanımlanan bu süre ve triyaj yükümlülüğü yalnızca ABD federal sivil kurumlarını kapsıyor.

Türkiye açısından

Bu istismar faaliyetiyle ilgili Türkiye'den bir kuruluş, resmi uyarı veya resmi yama süresi açıklanmadı. İstismar faaliyetinin etkilediği kuruluşların ülke dağılımı da açıklanmadı.

Açıkların ilk yama duyurusuna dair ayrıntılar Barracuda e-posta ağ geçidinde root erişimi veren iki açığın yamalandığını aktaran 4 Kasım 2026 tarihli haberde yer alıyor. Türkiye'de Barracuda cihazlarını işleten kurumlar açısından Barracuda'nın yönetim arayüzü erişimini güvenilir iç ağlarla sınırlama ve yama durumunu doğrulama tavsiyeleri temel teknik referans olmayı sürdürüyor.

Kaynaklar

Kapak görseli: «Rack with varoius servers», Aaron Hall, Wikimedia Commons, CC BY-SA 2.0 (kırpıldı, 1200x675).