E-posta güvenliği alanında kritik açıklar ve kimlik avı taktikleri gündemde. Barracuda, Cisco, Microsoft Exchange ve Roundcube gibi yaygın sistemlerdeki zafiyetler ile yapay zekâ destekli saldırıların artışı uzmanların uyarılarını beraberinde getiriyor.
Barracuda Email Security Gateway'de iki açık zincirlenerek kimlik doğrulaması olmadan root yetkisi elde edilebiliyor. watchTowr saldırıyı detaylandırdı, Barracuda da yama yayınladı. Açıklardan biri yetkilendirme atlama, diğeri komut enjeksiyonu içeriyor.
SH Consulting kurucusu Alex Shakhov’un 25 binden fazla devlet alan adını incelediği araştırmaya göre, DNS kayıtlarındaki yazım hataları ve süresi dolmuş alan adları ABD yerel yönetimlerinin e-posta sistemlerini taklit, casusluk ve kötüye kullanıma açık hale getiriyor. Livingston County ve Pikeville gibi kurumlarda tespit edilen hatalar, saldırganların resmi domainler üzerinden e-posta gönderip almasına ve güvenlik raporlarına erişmesine yol açtı.
Cofense’in raporuna göre eylülden beri süren bir Anthropic taklit kampanyası, düşük kaliteli kimlik avı e-postalarını Proofpoint ve Microsoft Defender gibi lider SEG ürünlerinden geçiriyor. Saldırganlar GoTo Webinar adresi, URL kısaltma ve çift CAPTCHA gibi basit taktiklerle Google ve Microsoft kimlik bilgilerini çalmaya çalışıyor. Uzmanlar çevresel e-posta savunmalarının yetersiz kaldığını, kimliğe odaklı kontrollerin şart olduğunu vurguluyor.
Cisco, Secure Email Gateway'de oturum açmayan bir göndericinin cihaz işletim sistemine dosya yazmasına izin veren kritik bir açığın aktif olarak istismar edildiğini açıkladı. Açık CVE-2026-76519 olarak izleniyor ve CVSS puanı 9.8. Düzeltme eylülden beri sunuluyor ancak etkilenen sistemlerin güncellenmesi gerekiyor.
Microsoft, Exchange Server’da ayrıcalık yükseltmesine yol açabilen yüksek önem dereceli bir açığı kapatmak için olağan dışı güncellemeler yayınladı. CVE-2026-96940 olarak izlenen zafiyet, kimliği doğrulanmış bir saldırganın aynı kuruluş içindeki diğer posta kutularını okumasına imkan veriyor. Exchange Online için hizmet tarafı düzeltmesi dağıtılırken, yerel sürüm kullanıcılarının güncellemeleri yüklemesi istendi.
Kanada Siber Güvenlik Merkezi, Mayıs 2026’da yama yayınlanan Roundcube Webmail açığının halen aktif olarak istismar edildiğini açıkladı. CVE-2026-48842 kodlu ön kimlik doğrulama SQL enjeksiyonu, kimliği doğrulanmamış erişimle mail hesap bilgilerini riske atıyor. Shadowserver verilerine göre internete açık yüz binlerce Roundcube örneği bulunuyor ve bir kısmı savunmasız durumda.
Cisco, AsyncOS tabanlı Secure Email Gateway'de CVE-2026-76461 kodlu kritik açığın aktif olarak sömürüldüğünü duyurdu. CVSS 9.8 puanlı zafiyet yetersiz e-posta ayrıştırma doğrulamasından kaynaklanıyor ve kimliği doğrulanmamış uzaktan saldırganın root ayrıcalığıyla komut çalıştırmasına izin veriyor. Açıklama Fortinet VPN'leri hedef alan büyük ölçekli kimlik doğrulama saldırılarının ardından geldi.
Forcepoint X-Labs araştırmacıları, kullanıcıların göremeyeceği gizli HTML talimatlarıyla e-posta özetleyicilerinin kandırılabildiğini gösterdi. Outlook eklentisi ve Claude Haiku 4.5 kullanılarak yapılan deneyde enjeksiyon 10 denemenin tamamında başarılı oldu ve fatura tutarı ile toplantı tarihi gibi bilgiler değiştirildi.
Bir güvenlik araştırmacısı, şirketlerin otomatik bildirimler ve silinen hesaplar için kullandığı 'noreply' ve 'deleteduser' alan adlarını satın aldı. Kısa süre içinde bu adreslere yüz binlerce gizli bilgi, sipariş detayı ve kişisel veri içeren e-postalar yağmaya başladı.
Zimbra, SNMP izleme bileşeninde kritik bir komut enjeksiyonu açığı ve dört XSS güvenlik açığını gideren 10.1.20 sürümünü yayınladı. Toplam dokuz güvenlik açığının kapatıldığı güncellemede, e-posta iletme kısıtlamalarını aşmaya olanak tanıyan CVE-2026-50055 de yer alıyor.
Zimbra, Classic Web Client'ı etkileyen kritik bir güvenlik açığını gideren güncellemeyi yayınladı. Stored XSS türündeki bu açık, özel olarak hazırlanmış e-postaların açılmasıyla kullanıcı oturumlarında kötü amaçlı kod çalıştırılmasına olanak tanıyor. Şirket, kullanıcıları acilen güncelleme yapmaya çağırıyor.