Barracuda, Email Security Gateway'deki root yetkisi veren açıkların sömürüldüğü konusunda uyardı

Güvenlik şirketi Barracuda, saldırganların Email Security Gateway ürünlerindeki kimlik doğrulama öncesi yetkilendirme atlatma hatası ile komut enjeksiyonu açığını sömürdüğü konusunda uyarıyor. İki açık zincirlendiğinde saldırganların komutları root yetkileriyle çalıştırmasına izin verebilir. Barracuda, Pazartesi gecesi yayımlanan geç bir güncellemede az sayıda kuruluşu etkileyen sömürü faaliyeti tespit edildiğini söyledi.

Barracuda ne açıkladı

Barracuda, kaç kuruluşun etkilendiği dahil olmak üzere olaylarla ilgili soruları yanıtlamayı reddetti. Şirket sözcüsü, etkilenen işletmelerle doğrudan çalıştığını ve etkilenen ürünler için yamalar yayımladığını söyledi. Satıcı, CVE-2026-116606 ve CVE-2026-111560 açıklarını geçen hafta açıkladı ve düzeltti. CVE-2026-116606, ESG'deki 9.3 CVSS puanlı kimlik doğrulama öncesi yetkilendirme atlatma açığıdır; kimlik doğrulama gerekli değildir, ancak saldırganın yönetim kullanıcı arayüzüne erişimi olmalıdır. CVE-2026-111560, ESG, yük dengeleyici (ADC), ileti arşivleyici (BMA), web uygulaması güvenlik duvarı (WAF), WAF kontrol merkezi (WCC) ve web güvenlik ağ geçidini (WSG) etkileyen 8.6 puanlı komut enjeksiyonu açığıdır.

Açıklar zincirlenirse risk

Barracuda, 2 Kasım'da açıklar birlikte sömürülürse saldırganın yetkilendirme denetimlerini atlayıp cihazda root erişimi elde edebileceğini uyardı. O dönemde satıcı, iki açıktan herhangi birinin aktif olarak sömürüldüğünü bildirmemişti. Saldırılardan kimin sorumlu olduğu veya saldırganların root erişimi elde edip etmediği henüz bilinmiyor. Elde ettilerse veri çalabilir, arka kapılar kurabilir ve etkilenen sistemlerin tam denetimini ele geçirebilirler.

Daha önceki saldırılarla bağlantılar

Bu tür uç cihaz sömürülerini Çin hükümetiyle bağlantılı casuslar kullanmıştır. 2023'te FBI, özel kötü amaçlı yazılım dağıtmak ve yüksek değerli ağlara erişimi sürdürmek için Barracuda ESG'leri hedef alan saldırılar nedeniyle ÇHC bağlantılı saldırganları suçladı. Mandiant'a göre tespit edilen etkilenen kuruluşların yüzde 27'si hükümet kurumlarıydı.

Yöneticiler için tavsiye

Purplecop Security kurucusu Tausif Ahmed, Salı günü Email Security Gateway yönetim arayüzü internete açıksa bunun kapatılması gereken ilk şey olduğunu söyledi. Barracuda'nın son tavsiyesi hemen yama yapmaktı.

Kaynaklar: The Register