Barracuda, ürünlerini etkileyen ve zincir halinde kullanıldığında saldırganın yetkilendirme kontrollerini atlayıp savunmasız bir cihaza root erişimi elde etmesine olanak verebilecek iki güvenlik açığının detaylarını açıkladı.
Zafiyetlerden biri ön kimlik doğrulama yetkilendirme atlama açığı, diğeri komut enjeksiyon açığı. Açıklara sırasıyla CVE-2026-116606 (CVSS puanı: 9.3) ve CVE-2026-111560 (CVSS puanı: 8.6) tanımlayıcıları verildi.
CVE-2026-116606 yalnızca Email Security Gateway'i etkiliyor. CVE-2026-111560 ise aşağıdaki Barracuda ürünlerini etkiliyor:
Email Security Gateway
Load Balancer Application Delivery Controller
WAF Control Center
Web Application Firewall
Web Security Gateway
"Başarılı bir istismar için saldırganın etkilenen ürünün yönetici arayüzüne erişimi olması gerekiyor" dedi Barracuda. "Birlikte istismar edilirse bu açıklar saldırganın yetkilendirme kontrollerini atlayıp cihaza root erişimi elde etmesine olanak verebilir."
Barracuda, yönetici arayüzlerini internete açmayan kuruluşların saldırı yoluna karşı daha az savunmasız olduğunu belirtti ve müşterilerden aşağıdaki adımları izlemelerini istedi:
Yönetici arayüzlerine erişimi güvenilir dahili ağlarla sınırla
Maruziyeti sınırlamak için uygun ağ erişim kontrolleri kullan
"Bu ürünleri kullanan müşteriler sistemlerinin en güncel firmware sürümlerinde çalıştığını ve tüm güvenlik yamalarını aldığını doğrulamalı" diye ekledi. "Bir cihazda firmware birden fazla sürüm gerideyse müşterilerin birden fazla güncelleme yapması gerekebilir."
