Barracuda Ürünlerinde Zincirlenebilir İki Güvenlik Açığı: Yetki Atlatma ve Root Erişimi Riski

Barracuda, ürünlerini etkileyen iki güvenlik açığının ayrıntılarını kamuoyuyla paylaştı. Şirkete göre bu açıklar tek başlarına da ciddi riskler barındırıyor; ancak asıl tehlike ikisinin birlikte zincirlendiği senaryolarda ortaya çıkıyor. Başarılı bir saldırı, yetki denetimlerinin tamamen devre dışı bırakılmasına ve hedef cihaz üzerinde root düzeyinde erişim elde edilmesine yol açabiliyor.

Açıkların Teknik Detayları ve CVE Kimlikleri​

İki açıktan ilki, kimlik doğrulama öncesi yetki atlatma güvenlik açığı olarak tanımlanıyor ve CVE-2026-116606 tanımlayıcısıyla kayıt altına alındı. Bu açığa CVSS puanlama sisteminde 9.3 gibi kritik bir değer biçildi. İkinci açık ise komut enjeksiyonu güvenlik açığı niteliği taşıyor; CVE-2026-111560 kimliğiyle tanımlanan bu açığın CVSS puanı 8.6 olarak belirlendi.
Etki alanları açısından iki açık arasında önemli bir fark bulunuyor. CVE-2026-116606 yalnızca Email Security Gateway ürününü etkilerken, CVE-2026-111560 çok daha geniş bir ürün yelpazesini kapsıyor. Bu ikinci açıktan etkilenen ürünler şunlar:

• Email Security Gateway
• Load Balancer
• Application Delivery Controller
• Message Archiver
• WAF Control Center
• Web Application Firewall
• Web Security Gateway

\n

Saldırı İçin Yönetim Arayüzüne Erişim Şart​

Barracuda, açıkların istismar edilebilmesi için saldırganın etkilenen ürünün yönetim arayüzüne erişim sağlamış olması gerektiğini vurguladı. Şirketin açıklamasına göre iki açık birlikte kullanıldığında, saldırgan yetki denetimlerini atlatarak cihaz üzerinde root erişimi elde edebiliyor. Bu durum, yönetim arayüzünü doğrudan internete açık tutmayan kuruluşların bu saldırı vektörüne karşı daha az savunmasız olduğu anlamına geliyor.

Barracuda'nın Müşterilere Önerileri​

Barracuda, müşterilerini olası risklere karşı korumak amacıyla bir dizi adım atmalarını tavsiye etti. Şirketin önerileri iki temel başlık altında özetlenebilir: yönetim arayüzlerine erişimi yalnızca güvenilir iç ağlarla kısıtlamak ve maruz kalma alanını daraltmak için uygun ağ erişim denetimlerinden yararlanmak.
Bunların yanı sıra Barracuda, söz konusu ürünleri kullanan kuruluşların sistemlerinin en güncel donanım yazılımı sürümlerini çalıştırdığını ve tüm güvenlik yamalarının uygulandığını doğrulamasını istedi. Şirket ayrıca bir cihazın donanım yazılımının birden fazla sürüm geride kaldığı durumlarda müşterilerin birden fazla güncelleme adımı uygulaması gerekebileceği konusunda uyardı.

Sıkça Sorulan Sorular​

Bu güvenlik açıkları hangi CVE kimlikleriyle kayıt altına alındı?​

İki açık CVE-2026-116606 ve CVE-2026-111560 tanımlayıcılarıyla kayıt altına alındı. CVE-2026-116606'nın CVSS puanı 9.3, CVE-2026-111560'ın CVSS puanı ise 8.6 olarak belirlendi.

Hangi Barracuda ürünleri bu açıklardan etkileniyor?​

CVE-2026-116606 yalnızca Email Security Gateway'i etkilerken, CVE-2026-111560 Email Security Gateway, Load Balancer, Application Delivery Controller, Message Archiver, WAF Control Center, Web Application Firewall ve Web Security Gateway ürünlerini kapsıyor.

Saldırganların bu açıkları istismar edebilmesi için hangi koşul gerekiyor?​

Barracuda'ya göre başarılı bir istismar için saldırganın etkilenen ürünün yönetim arayüzüne erişim sağlamış olması gerekiyor.

İki açık birlikte kullanıldığında ne gibi bir sonuç ortaya çıkabiliyor?​

Barracuda'nın açıklamasına göre iki açık zincirlendiğinde saldırgan, yetki denetimlerini atlayarak hedef cihazda root erişimi elde edebiliyor.

Barracuda, müşterilerin bu riske karşı ne yapmasını öneriyor?​

Barracuda, yönetim arayüzlerine erişimi güvenilir iç ağlarla sınırlandırmayı, uygun ağ erişim denetimleri uygulamayı ve sistemlerin en güncel donanım yazılımı sürümlerini çalıştırdığından emin olmayı tavsiye ediyor. Birden fazla sürüm geride kalan cihazlar için birden fazla güncelleme adımı gerekebileceği de belirtiliyor.