Barracuda, saldırganlara kök erişimi sağlayabilecek açıklar konusunda uyardı

Barracuda Networks, saldırganların etkilenen cihazlarda kök ayrıcalıklarıyla komut çalıştırmasına yol açabilecek iki güvenlik açığını kapatmaları için müşterilerini uyardı.

İlki olan CVE-2026-116606, şirketin Email Security Gateway (ESG) ürünündeki bir kimlik doğrulama zafiyetiyle bağlantılı kritik bir açık. Saldırganlar bu açıktan yararlanarak bir cihazın genel yapılandırmasını değiştirebilir. İkinci açık olan CVE-2026-111560 ise yönetici izinlerine zaten sahip saldırganların kök ayrıcalıklarıyla çalışan işletim sistemi komutları eklemesine olanak tanıyabilir.

Barracuda, başarılı bir saldırı için hedef cihazların yönetim arayüzlerine erişim gerektiğini söyledi. Şirket, açıkların birlikte kullanılmasının yetkilendirme denetimlerini aşmaya ve kök erişimi elde etmeye imkân verebileceğini belirtti. Barracuda, düzeltme sürecini başlattığını ve etkilenen ürünler için yamalar yayımladığını söyledi. Müşterilere etkilenen ürünler ve düzeltmelerle ilgili kılavuzu incelemelerini, en son donanım yazılımını yüklemelerini, tüm güvenlik yamalarını uygulamalarını ve yönetim erişimini güvenilir iç ağlarla sınırlandırmalarını önerdi.

Barracuda'nın ESG cihazları daha önce de açıkları kullanan saldırıların hedefi oldu. Şirket, 2023'te UNC4841 adlı bilgisayar korsanı grubunun yamasız cihazlarda rastgele kod çalıştırmak için sıfır gün saldırılarında kullandığı CVE-2023-7102 açığını kapattı. UNC4841 aynı yıl CVE-2023-2868 açığından da yararlandı. Barracuda daha sonra bu açığın, en az Ekim 2022'den beri en az yedi ay boyunca SeaSpy ve Saltwater kötü amaçlı yazılımlarını dağıtmak ve veri çalmak için kullanıldığını söyledi. Mandiant, 2023 kampanyasında saldırıya uğrayan cihazların neredeyse üçte birinin dünya çapındaki devlet kurumlarına ait olduğunu belirtti.