Ing. Calogero Bono
Barracuda, birlikte kullanıldıklarında uzaktan bir saldırganın Email Security Gateway üzerinde hiçbir oturum açmadan root olarak komut çalıştırmasına izin veren iki güvenlik açığı için yamaları yayımladı. İtalya'nın CSIRT ekibi bir uyarı yayımlayarak bir kavram kanıtı (PoC) bulunduğunu bildirdi. watchTowr şirketi ise zincirin teknik analizini paylaştı. Önemli olmasının nedeni, cihazın kurumsal e-postayı filtrelemesi ve dışarıya açık olduğunda çok hassas bir giriş noktası haline gelmesidir.
Olayların ayrıntısına girmeden önce birkaç terim. CVE, bilinen bir güvenlik açığını tanımlayan koddur. PoC (Proof of Concept), bir açığın nasıl istismar edileceğini gösteren kanıt niteliğinde bir uygulamadır. Authentication bypass, erişim denetimini aşmak anlamına gelir. Command injection, yalnızca veri içermesi gereken bir alana sistem komutları enjekte etmektir. CVSS, 0 ile 10 arasındaki ciddiyet puanıdır.
Barracuda'da ne oldu?
İtalya'nın ACN uyarısına göre, çeşitli Barracuda ürünlerini etkileyen iki açık için bir PoC mevcut – CVE-2026-116606 ve CVE-2026-111560. Birleştirildiklerinde, yönetim arayüzüne ulaşabilen uzaktaki bir saldırgan kimlik doğrulamayı atlatabiliyor ve keyfi kod çalıştırabiliyor.
The Hacker News'in aktardığına göre, şirket yamaları pazartesi günü yayımladı ve watchTowr zinciri perşembe günü ayrıntılı olarak açıkladı.
İki açık nasıl çalışıyor?
CVE-2026-116606 bir kimlik doğrulama bypass'ıdır ve 10 üzerinden 9,3 (CVSS 4.0) puan alır. Yalnızca Email Security Gateway'i etkiler. ACN'e göre, yönetici şifre değiştirme işlemindeki bir hatadan kaynaklanır. Değişiklik başarısız olduğunda yazılım hatayı bildirir ama isteği durdurmaz.
CVE-2026-111560 ise 8,6 puanlık bir command injection açığıdır. Saat dilimi alanı (system_timezone), kabuk meta karakterlerini etkisiz hale getirmez ve komutlar yükseltilmiş yetkilerle çalıştırılır. Normalde bunun için bir yönetici hesabı gerekir, ancak ESG üzerinde bypass bu yetkiyi verir.
Oturum açmadan root'a nasıl ulaşılıyor?
The Hacker News'te aktarılan watchTowr analizine göre, başarısız olan şifre değişikliği, isteği engellemek yerine saldırgana az yetkili bir rol veriyor. Bu da yedekleri geri yükleme işlevini açık bırakıyor.
Yüklenen yedek, cihazın daha sonra root yetkileriyle kabuk komutu olarak çalıştırdığı bir saat dilimi değeri içeriyor. Barracuda yedekleri bir kontrol toplamıyla koruyor, ancak bunu hesaplamak için gereken gizli anahtar kodun içinde yazılı olduğundan sahte yedek hazırlanabiliyor. watchTowr, root olarak bir dosya yazarak saldırıyı kanıtladı.
Hangi ürünler etkileniyor ve nasıl düzeltilir?
Command injection açığı altı ürünü etkiliyor.
- Email Security Gateway
- Load Balancer ADC
- Message Archiver
- WAF Control Center
- Web Application Firewall
- Web Security Gateway
ESG dışındaki beş üründe hâlâ bir yönetici hesabı gerekiyor. Barracuda her ürün için bir yama sunuyor. Email Security Gateway, 9.4.0.030 ve sonrası sürümlerde düzeltilmiş durumda. Hemen güncelleme yapamıyorsan, yönetim arayüzünü güvendiğin iç ağlarla sınırla ve daha önce kapattıysan otomatik güncellemeleri yeniden etkinleştir.
Bilinmesi gereken sınırlar
İki açık da CISA'nın KEV kataloğunda yer almıyor ve hiçbir kamuya açık rapor bunları bir saldırıyla ilişkilendirmiyor. watchTowr bir tespit aracı paylaştı ama bir exploit paylaşmadı. Kamuya açık exploit'lerin ortaya çıkıp çıkmayacağı henüz belli değil. İki kaynak bypass'ı biraz farklı anlatıyor ve etkilenen sürümlerin tam listesi yalnızca satıcının bülteninde bulunuyor.
Dijital alanda çalışanlar için ne değişiyor
Şirketin bir Barracuda cihazı kullanıyorsa, hemen firmware sürümünü kontrol et ve yamayı uygula. Ardından yönetim arayüzünün internetten erişilebilir olup olmadığına bak, çünkü saldırının ön koşulu budur. Altyapıyı yönetiyorsan, özel bir alt ağ ve güvenlik grupları ile erişimi daraltabilirsin. Sunucularını üçüncü taraflara emanet ettiysen, yönetilen barındırma hizmetinde olduğu gibi güncellemelerden kimin sorumlu olduğunu sor.
Bizim değerlendirmemiz
Bu olay klasik bir hatayı gösteriyor. Sorunu bildiren ama işlemi durdurmayan bir kontrolün pek bir değeri yok. Buna bir de kontrol toplamı için kodun içine gömülü sabit bir gizli anahtar eklenince, bu koruma kimseyi durduramıyor. Bir çevre savunma cihazı uzaktan root erişimi açmamalı. Ayrıca root olarak çalışan kurulumlarda ortaya çıkan APT açığını da hatırla. Panik yapmaya gerek yok, ama yamanın şimdi uygulanması gerekiyor.
Sık sorulan sorular
Barracuda ESG üzerinde zinciri istismar etmek için oturum açma gerekiyor mu?
Hayır. The Hacker News'e göre birleştirilen iki açık oturum açmadan root erişimine yol açıyor. Ancak saldırganın cihazın yönetim arayüzüne ulaşabilmesi gerekiyor.
Email Security Gateway'in hangi sürümleri düzeltilmiş?
9.4.0.030 ve sonrası sürümler. Her ürün için ayrıntılar Barracuda'nın güvenlik bülteninde yer alıyor.
Açıklar saldırılarda zaten kullanılıyor mu?
Bu konuda bir kayıt yok. Kaynaklar, açıkların CISA'nın KEV kataloğunda olmadığını ve hiçbir kamuya açık raporun bunları bir saldırıyla ilişkilendirmediğini belirtiyor. Ancak bir PoC mevcut.
Hemen güncelleme yapamazsam ne yapmalıyım?
Yönetim arayüzünü yalnızca güvendiğin iç ağlarla sınırla. Daha önce kapattıysan otomatik güncellemeleri de yeniden etkinleştir.
İki CVE'yi kim atadı?
The Hacker News'e göre bunları Mandiant atadı. Mandiant, bypass açığını 10 üzerinden 9,3, command injection açığını ise 8,6 olarak değerlendirdi.
Önümüzdeki haftalarda Barracuda cihazlarında nelere dikkat etmelisin
Yama mevcut, ama PoC yayında ve duyuru ile saldırılar arasındaki süre kısalıyor. Gelişmeleri takip etmek iyi olur.
- İki CVE'nin CISA'nın KEV kataloğuna girip girmediğini ya da kamuya açık exploit'lerin çıkıp çıkmadığını kontrol et.
- Cihazlarını doğrulamak için watchTowr'un tespit aracını kullan.
- ESG dışındaki ürünler için Barracuda bültenini yeniden oku ve doğru sürümleri teyit et.
