Barracuda E-posta Güvenlik Ağ Geçidinde Giriş Yapmadan Root Erişimi Sağlayan Zincir Açık

Barracuda'nın e-posta filtreleme cihazı Email Security Gateway'de keşfedilen iki güvenlik açığı, bir saldırganın sisteme hiç giriş yapmadan en yüksek yetki düzeyi olan root olarak komut çalıştırmasına imkân tanıyor. Barracuda yamalarını Pazartesi günü yayımlarken güvenlik firması watchTowr, saldırı zincirinin teknik analizini Perşembe günü kamuoyuyla paylaştı.

İki Açığın Teknik Özellikleri​

Açıklardan ilki, CVE-2026-116606 tanımlayıcısıyla kayıt altına alınan bir yetkilendirme atlatma (authorization bypass) zafiyeti. Bu açık yalnızca Email Security Gateway'i etkiliyor. Kimliği doğrulanmamış bir saldırgan bu açığı kullanarak özel olarak hazırlanmış bir yapılandırma yedeğini sisteme yükleyip cihazın genel ayarlarını değiştirebiliyor.
İkinci açık ise CVE-2026-111560 olarak tanımlanan bir komut enjeksiyonu (command injection) zafiyeti. Bu açık normalde root olarak komut çalıştırabiliyor; ancak bunun için yönetici hesabına ihtiyaç duyuluyor. Email Security Gateway'deki yetkilendirme atlatma açığı bu engeli ortadan kaldırıyor ve saldırgana söz konusu yönetici erişimini sağlıyor. İki açık zincirleme kullanıldığında herhangi bir oturum açma gereksinimi olmaksızın root erişimi elde etmek mümkün hale geliyor.
Komut enjeksiyonu açığı Email Security Gateway dışında beş farklı Barracuda ürününü daha etkiliyor; ancak bu cihazlarda açığın kullanılabilmesi için yönetici hesabı gerekmeye devam ediyor. CVE kayıtlarını atayan Mandiant, yetkilendirme atlatma açığını 10 üzerinden 9,3, komut enjeksiyonu açığını ise 8,6 olarak puanladı.

Saldırı Zinciri Nasıl İşliyor?​

watchTowr'ın teknik analizine göre zincir, cihazın kodunda izlenen bir dizi adımdan oluşuyor. Başarısız bir parola değiştirme isteği, isteği durdurmak yerine saldırgana düşük yetkili bir rol döndürüyor; bu durum yedek geri yükleme işlevini oturum açmamış biri için erişilebilir kılıyor. Söz konusu işlev yüklenen yedeği kabul ediyor. Geri yüklenen veriler arasında yer alan saat dilimi değeri, cihaz tarafından daha sonra root ayrıcalıklarıyla bir kabuk komutu olarak çalıştırılıyor.
Barracuda, yedekleri bir sağlama toplamıyla (checksum) koruyor; ancak bu sağlama toplamını hesaplamak için kullanılan gizli değer kodun içine gömülü. Bu durum, saldırganın geçerli bir sağlama toplamını taklit etmesine olanak tanıyor. watchTowr, saldırıyı root olarak cihaza dosya yazarak somut biçimde gösterdi.

Etkilenen Ürünler ve Yayımlanan Yamalar​

Barracuda, etkilenen her ürün için ayrı bir yama yayımladı ve güvenlik danışma belgesinde düzeltilmiş donanım yazılımı sürümlerini listeledi. Email Security Gateway için düzeltme sürüm 9.4.0.030 ve sonrasında mevcut.
Barracuda'nın güvenlik danışma belgesi üç adımlık bir eylem planı ortaya koyuyor: Etkilenen her ürün için yama uygulamak ya da belirtilen sabit donanım yazılımı sürümüne yükseltmek; yamayı hemen uygulama imkânı yoksa cihazın yönetim arayüzünü yalnızca güvenilen iç ağlarla sınırlandırmak; otomatik yama özelliği kapatılmışsa yeniden etkinleştirmek.

Exploit Yok, Aktif Saldırı Kaydı Yok​

Bu haftanın başı itibarıyla her iki açık da CISA'nın Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğunda yer almıyor ve her iki açığı gerçek bir saldırıyla ilişkilendiren kamuya açık herhangi bir rapor bulunmuyor. watchTowr, bir cihazın savunmasız olup olmadığını kontrol eden bir tespit aracı yayımladı; ancak açığı istismar eden bir kod (exploit) kamuoyuyla paylaşmadı.
Email Security Gateway, 2023 yılında UNC4841 olarak takip edilen bir grup tarafından gerçekleştirilen saldırılarda hedef alınmıştı. O saldırılarda CVE-2023-2868 tanımlayıcılı farklı bir açık sıfır gün olarak kullanılmıştı. Bu hafta yamalanan iki yeni açıkla o saldırılar arasında herhangi bir bağlantı bulunmuyor ve yeni açıkları herhangi bir saldırganla ilişkilendiren bir bilgi de mevcut değil.

Sıkça Sorulan Sorular​

Bu güvenlik açıkları hangi Barracuda ürününü doğrudan etkiliyor?​

Yetkilendirme atlatma açığı (CVE-2026-116606) yalnızca Barracuda Email Security Gateway'i etkiliyor. Komut enjeksiyonu açığı (CVE-2026-111560) ise Email Security Gateway dahil toplam altı Barracuda ürününü etkiliyor; ancak diğer beş üründe bu açığın kullanılabilmesi için yönetici hesabı gerekiyor.

Saldırgan giriş yapmadan nasıl root erişimi elde edebiliyor?​

Başarısız bir parola değiştirme isteği sistemi durdurmak yerine saldırgana düşük yetkili bir rol döndürüyor; bu sayede yedek geri yükleme işlevi kimliği doğrulanmamış kişiye açık hale geliyor. Saldırgan özel hazırlanmış bir yedek yükleyerek içindeki saat dilimi değerini cihaza root ayrıcalıklarıyla kabuk komutu olarak çalıştırtabiliyor. Barracuda'nın yedekleri korumak için kullandığı sağlama toplamı gizli değerinin kodun içine gömülü olması ise saldırganın geçerli bir sağlama toplamı taklit etmesine olanak tanıyor.

Email Security Gateway için hangi sürüm yamayı içeriyor?​

Barracuda'nın güvenlik danışma belgesine göre Email Security Gateway, sürüm 9.4.0.030 ve sonrasında yamayı içeriyor.

Bu açıklar şu anda aktif olarak istismar ediliyor mu?​

Bu haftanın başı itibarıyla her iki açık da CISA'nın Bilinen İstismar Edilen Güvenlik Açıkları kataloğunda yer almıyor ve her ikisini gerçek bir saldırıyla ilişkilendiren kamuya açık herhangi bir rapor bulunmuyor. watchTowr, bir tespit aracı yayımlamış olmakla birlikte açığı istismar eden kodu kamuoyuyla paylaşmadı.

2023'teki Barracuda saldırılarıyla bu yeni açıklar arasında bir bağlantı var mı?​

Hayır. 2023'teki saldırılarda UNC4841 adıyla takip edilen grup, CVE-2023-2868 tanımlayıcılı farklı bir açığı sıfır gün olarak kullanmıştı. Bu hafta yamalanan iki yeni açık o saldırılarla ilişkili değil ve yeni açıkları herhangi bir saldırganla bağdaştıran bir bilgi de mevcut değil.