Sunucu rafında üst üste takılı üç Barracuda e-posta güvenlik cihazı. Barracuda Email Security Gateway açıkları haberini simgeleyen temsili fotoğraf

Barracuda Networks'ün 2 Kasım 2026 tarihli güvenlik danışmasına göre iki açık (CVE-2026-116606 ve CVE-2026-111560) birlikte kullanılırsa saldırgan yetki denetimlerini atlatıp cihazda root erişimi (cihazdaki tüm dosya ve işlemlere sınırsız erişim sağlayan en üst yönetici yetkisi) elde edebiliyor; şirket yamaları yayımladı. Email Security Gateway (ESG, kurumun e-posta trafiğini süzen güvenlik cihazı) kurumun tüm e-posta trafiğinin geçtiği noktada duruyor ve aynı ürün ailesi 2023'te casusluk kampanyasında hedef alınmıştı.

Barracuda danışmasında, Beazley Security teknik incelemesinde ve CISA KEV kataloğunda bu açıkların gerçek saldırılarda istismar edildiğine dair herhangi bir bilgi yer almıyor.

İki açık nasıl birleşiyor

CVE-2026-116606 açığı yalnızca Barracuda Email Security Gateway cihazını etkiliyor. NVD kaydına göre 9.4.0.030 öncesi sürümlerde kimliği doğrulanmamış uzak bir saldırgan, yapılandırma içe aktarma işlevini çağırarak hazırlanmış bir yedek arşivi geri yükleyebiliyor ve cihazın genel yapılandırmasını değiştirebiliyor. Açığın CVSS 4.0 puanı 9,3; CVE kaydını yayımlayan Mandiant açığı kritik olarak niteliyor. Barracuda'nın danışmasında ise aynı açığın önem düzeyi «yüksek» olarak yazılı ve «Kimlik doğrulama gerekli: Evet, yönetici erişimi» satırı bulunuyor; bu bilgi, NVD'deki kimlik doğrulama öncesi saldırı tanımıyla çelişiyor.

CVE-2026-111560 ise Barracuda cihazlarının ortak kodundaki saat dilimi ayarı alanında bulunan, CVSS 4.0 puanı 8,6 olan bir komut enjeksiyonu (bir giriş alanına yazılan değerin cihazda komut olarak çalıştırılması) açığı. Alan özel kabuk karakterlerini temizlemediği için yönetici yetkisine sahip bir saldırgan, buraya yazdığı değerle cihazda root yetkisiyle komut çalıştırabiliyor. Beazley Security'nin değerlendirmesine göre ilk açıkla yetki atlatma (oturum açmadan yalnız yöneticiye açık bir işleve ulaşılması) yapıp yapılandırmayı ele geçiren saldırgan, ikinci açıkla root yetkisinde komut çalıştırabiliyor; böylece ESG'nin yönetim arayüzüne ağ üzerinden ulaşabilen biri parola olmadan cihazın tam denetimini alabiliyor. Barracuda'ya göre başarılı bir saldırı için saldırganın etkilenen ürünün yönetim arayüzüne erişebilmesi gerekiyor.

İstismar bildirilmedi

Barracuda'nın danışmasında açıkların saldırılarda kullanıldığına dair bir bilgi yok. Beazley Security, 3 Kasım 2026 tarihli değerlendirmesinde, yazıldığı sırada aktif istismar bildirilmediğini ve kamuya açık bir kavram kanıtı (PoC) kodu bilinmediğini belirtti. CISA'nın Bilinen İstismar Edilen Açıklar (KEV) kataloğunda 4 Kasım 2026 itibarıyla iki zafiyet de yer almıyor. Mandiant'ın açıklama belgelerine göre CVE-2026-111560 15 Ekim 2026'da, CVE-2026-116606 22 Ekim 2026'da raporlandı; CVE kayıtları 2 Kasım 2026'da yayımlandı.

Etkilenen ürünler ve yamalar

CVE-2026-111560, ESG'nin yanı sıra Web Security Gateway, Web Application Firewall, WAF Control Center, Load Balancer ADC ve Message Archiver ürünlerini de etkiliyor. Barracuda tarafından yayımlanan güvenlik yamaları şunlardır:

Barracuda'ya göre yama otomatik uygulanmadıysa elle ve en kısa sürede uygulanmalı; otomatik yama kapatıldıysa yeniden açılması öneriliyor. Ürün yazılımı birkaç sürüm gerideyse birden fazla güncelleme gerekebiliyor.

ESG neden hedef

Beazley Security, 2023'te Çin bağlantılı UNC4841 grubunun iki sıfır gün açığını (CVE-2023-2868 dahil) casusluk operasyonlarında kullandığını ve etkilenen cihazların yaklaşık üçte birinin kamu kurumlarına ait olduğunu hatırlatıyor. BleepingComputer'a göre CVE-2023-2868 en az Ekim 2022'den itibaren yaklaşık yedi ay boyunca istismar edildi. Beazley, e-posta güvenlik ağ geçitlerinin tarihsel olarak açıklar duyurulduktan kısa süre sonra hedef alındığını belirtiyor. BleepingComputer'a göre 2003'te kurulan Barracuda'nın dünya genelinde 200 binden fazla müşterisi var.

Türkiye açısından

Kaynaklarda Türkiye'ye özgü bir etkilenme bilgisi yer almıyor; T.C. Siber Güvenlik Başkanlığı'nın (SGB) güvenlik bildirimlerinde 4 Kasım 2026 sabahı itibarıyla bu açıklara ilişkin bir kayıt bulunmuyor. Türkiye'de kullanılan Barracuda cihazlarının sayısına dair açık bir veri yok. Açıklar, Barracuda'nın e-posta, web ve uygulama güvenliği cihazlarını kullanan kurumların BT ekiplerini ilgilendiriyor. Benzer sınır cihazlarına yönelik riskler, daha önce Ivanti Connect Secure açıklarının CISA kataloğuna eklenmesi sürecinde görülmüş, ağ bileşenlerinin güvenliği ise Cisco ASA ve FTD güvenlik duvarlarındaki açık incelemesinde ele alınmıştı.

Ne yapmalısınız

Barracuda ve Beazley Security tarafından sistem yöneticilerine önerilen adımlar şunlardır:

Kaynaklar

Kapak görseli (temsili): sunucu rafında Barracuda e-posta güvenlik cihazları — Aaron Hall, Wikimedia Commons, CC BY-SA 2.0 (kırpıldı, küçültüldü).

Sık sorulan sorular

Hangi Barracuda ürünleri etkileniyor?

Yetki atlatma açığı Email Security Gateway (ESG) cihazını etkilerken, komut enjeksiyonu açığı ESG, WSG, WAF, WCC, ADC ve BMA ürünlerini etkilemektedir.

Yönetim arayüzü internete kapalıysa risk var mı?

Barracuda'ya göre başarılı bir saldırı için saldırganın yönetim arayüzüne erişebilmesi gerekiyor. Yönetim arayüzünü internete kapatmak Barracuda ve Beazley Security'nin önerdiği adımlardan biri; yamaların uygulanması yine gerekiyor.

Açıklar saldırılarda kullanıldı mı?

Barracuda'nın danışmasında açıkların saldırılarda kullanıldığına dair bilgi yok; Beazley Security de yazıldığı sırada aktif istismar bildirilmediğini belirtti. İki açık 4 Kasım 2026 itibarıyla CISA'nın KEV kataloğunda yer almıyor.