Barracuda ESG ve Cisco BroadWorks Açıkları İstismar Ediliyor: CISA KEV Kayıtları ve Yamalar

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), 10 Kasım 2026’da Barracuda ürünlerindeki CVE-2026-116606 ve CVE-2026-111560 ile Cisco BroadWorks’teki CVE-2026-20320’yi istismar edilen açıklar kataloğuna (KEV) ekledi; Barracuda “az sayıda kuruluşu etkileyen istismar faaliyeti” tespit ettiğini, Cisco ise Kasım 2026’da açığın aktif olarak istismar edildiğini öğrendiğini bildirdi ve üç açığın üretici derecesi de High.

Künye

Barracuda: İki Açık, Tek Zincir

Barracuda’nın 2 Kasım 2026’da yayımladığı ve sonradan güncellediği bültene göre CVE-2026-116606, yalnızca Email Security Gateway’i (ESG) etkileyen ve kimlik doğrulamadan önce çalışan bir yetkilendirme atlatma açığı. Saldırgan bir yapılandırma içe aktarma işlevini çağırıp hazırlanmış bir yedek arşivi geri yükleyerek cihazın genel yapılandırmasını değiştirebiliyor. 5 Kasım güncellemesiyle bültendeki “kimlik doğrulama gerekli” alanı, kimlik doğrulama gerekmediğini ancak yönetim arayüzüne erişimin şart olduğunu gösterecek biçimde değiştirildi.

CVE-2026-111560 ise saat dilimi yapılandırma alanında bir komut enjeksiyonu; komutlar root yetkisiyle çalışıyor ve yönetici kimlik doğrulaması gerekiyor. Bu açık ESG’nin yanı sıra Load Balancer ADC, Message Archiver, WAF Control Center, WAF ve Web Security Gateway’i etkiliyor. Barracuda’ya göre iki açık birlikte kullanıldığında saldırgan yetkilendirme denetimlerini aşıp cihazda root erişimi elde edebiliyor. Şirket, 9 Kasım akşamı bültene istismar bilgisini ekledi.

Yamalar ürün bazında ayrı numaralarla dağıtılıyor: ESG için BNSF-40425 ve BNSF-40430, Message Archiver için BNMA-32468, WAF Control Center için BNWF-60060, Web Security Gateway için BNYF-24789. Barracuda yönetim arayüzünün yalnızca güvenilir iç ağlardan erişilebilir tutulmasını, otomatik yamanın açılmasını ve otomatik uygulanmamışsa yamanın elle kurulmasını öneriyor. CISA, Barracuda kayıtları için adli inceleme (forensic triage) gerektiğini de işaretlemiş.

Cisco BroadWorks: Yeni Açık Değil, Yeni İstismar Beyanı

Cisco’nun cisco-sa-bworks-xxe-uwUd7CEt kodlu bülteni ilk kez 19 Ağustos 2026’da yayımlandı. 12 Kasım 2026’da yapılan 1.1 güncellemesiyle bültene bilinen aktif istismar bilgisi eklendi. Açık, BroadWorks’ün Open Client Interface XML ayrıştırıcısında harici varlık çözümlemesinin varsayılan olarak açık olmasından kaynaklanan bir XML harici varlık enjeksiyonu (XXE). Kimliği doğrulanmamış uzaktaki bir saldırgan, OCI-P servisine hazırlanmış bir XML mesajı göndererek dosya sistemindeki hassas dosyaları BroadWorks kullanıcısının yetkisiyle okuyabiliyor. Etki yalnızca gizlilikle sınırlı; Cisco kod çalıştırmadan söz etmiyor.

Etkilenen ürünler yapılandırmadan bağımsız olarak BroadWorks Application Delivery Platform, Application Server, Profile Server ve Xtended Services Platform. Dört üründe de ilk düzeltilmiş sürüm RI.2026.07; geçici çözüm yok.

Aynı gün KEV’e eklenen tarayıcı açığı için Chrome 157 ve CVE-2026-125350, Outlook açığı için Microsoft Kasım 2026 Yama Salısı sayfalarımıza bakabilirsiniz.

KEV Kataloğu Ne İşe Yarar?

KEV, CISA’nın gerçek saldırılarda kullanıldığına dair güvenilir kanıt bulunan açıkları listelediği katalogdur. Katalogdaki son tarihler yalnızca ABD federal kurumlarını bağlar. Diğer kuruluşlar için anlamı, açığın teorik bir risk olmaktan çıkıp sahada kullanıldığının resmî olarak kayda geçmesidir; bu yüzden KEV’e giren açıklar yama önceliğinde genellikle üst sıraya alınır.

Bu Sayfada Ne Yok?

• Saldırıların hedefi olan kuruluşların adı, sayısı ve ülkesi: Barracuda yalnızca “az sayıda kuruluş” diyor, Cisco ayrıntı vermiyor.
• Saldırganların kimliği: üreticiler ve CISA açıklamıyor.
• ESG için tek bir kesin düzeltilmiş sürüm numarası: Barracuda ile açığı bildiren Mandiant farklı sürüm biçimleri kullandığından yazılmamıştır.
• Açıkların “kritik” olduğu iddiası: üretici dereceleri High; bazı ulusal veri tabanlarındaki puanlar üretici derecesi değildir.
• Cisco açığıyla kod çalıştırılabildiği iddiası: Cisco yalnızca dosya okumadan söz ediyor.
• RI.2026.07 sürümünün yayın tarihi: doğrulanamadı.
• Türkiye’de etkilenen kurum bilgisi: hiçbir kaynakta yer almıyor.

Sık Sorulan Sorular

Barracuda ESG açığı aktif olarak istismar ediliyor mu?

Evet. Barracuda az sayıda kuruluşu etkileyen istismar faaliyeti tespit ettiğini bildirdi; CISA iki açığı 10 Kasım 2026’da KEV’e ekledi.

Barracuda açıkları kritik mi?

Barracuda’nın derecesi her iki açık için High. CVSS puanları 9.3 ve 8.6.

Hangi Barracuda ürünleri etkileniyor?

CVE-2026-116606 yalnızca ESG’yi; CVE-2026-111560 ise ESG, Load Balancer ADC, Message Archiver, WAF Control Center, WAF ve Web Security Gateway’i etkiliyor.

Cisco BroadWorks açığı yeni mi?

Hayır. Yama 19 Ağustos 2026’dan beri var; 12 Kasım 2026’da bültene aktif istismar bilgisi eklendi.

Cisco BroadWorks açığı neye yol açıyor?

Kimliği doğrulanmamış bir saldırganın hassas dosyaları BroadWorks kullanıcısının yetkisiyle okumasına. Cisco kod çalıştırmadan söz etmiyor.

CISA son tarihleri herkes için geçerli mi?

Hayır. Son tarihler yalnızca ABD federal kurumlarını bağlar; diğer kuruluşlar için öncelik işaretidir.

Kaynak ve kapsam: Bilgiler Barracuda’nın güvenlik bülteninden, Mandiant’ın MNDT-2026-0041 ve 0042 bildirimlerinden, Cisco’nun cisco-sa-bworks-xxe-uwUd7CEt bülteninden ve CISA KEV kataloğunun 13 Kasım 2026 sabahı indirilen kayıtlarından okunmuştur. Hedefler, saldırganlar ve tek bir ESG sürüm numarası kaynaklarda bulunmadığından ya da çeliştiğinden yazılmamıştır. Veri tarihi: 13 Kasım 2026.