Adobe Commerce PolyShell ve Brotli Açıkları

E-ticaret sitenizi ya da bulut altyapınızı yönetirken ekranınıza düşen sıradan bir hata logu, aslında arka planda çalışan geniş çaplı bir siber saldırının ilk işareti olabilir. ABD Siber Güvenlik ve Altyapı Güvenlik Ajansı (CISA) tarafından Salı günü yapılan açıklamaya göre, Adobe Commerce, Magento ve Google Brotli kod çözücü kitaplığını etkileyen iki kritik güvenlik açığı aktif olarak istismar ediliyor.

Güvenlik dünyasında “PolyShell” ve “Node2Shell” gibi isimlerle anılan bu güvenlik açıkları zinciri, web sunucularından bulut ortamlarına kadar geniş bir alanı hedef alıyor. (bu rakam önceki nesil açıklarla kıyaslanınca saldırıların ne kadar sistemik olduğunu açıkça gösteriyor) Yazılım tedarik zincirinin en temel bileşenlerinden birini sarsan bu süreçte, yöneticilerin atacağı adımlar doğrudan kritik sistemlerin güvenliğini belirliyor.

CVE-2026-48356 Nedir ve Adobe Commerce Mağazalarını Nasıl Etkiliyor?

CVE-2026-48356, Adobe Commerce ve Magento sistemlerindeki tehlikeli türde dosya yükleme kısıtlamalarından kaynaklanan 9.3 CVSS puanlı kritik bir açık olarak kayıtlara geçti. Sansec verilerine göre saldırganlar, PolyShell olarak bilinen bu yöntemi kullanarak yüzlerce e-ticaret mağazasına sızmayı başardı ve Magento CMS blokları üzerinden kötü amaçlı yükler enjekte etti.

Saldırganlar bu yöntemle mağazalarda kalıcılık sağlarken, yüklenen kodun temel amacı dışarıdan kontrol edilen ek zararlı yazılımları sisteme çekmek. Şu ana kadar sonraki aşamada çalışacak net bir zararlı payload tespit edilememiş olsa da, bu durum saldırının nihai hedefini anlamayı zorlaştırıyor ve riski daha da artırıyor. Temmuz 2025’ten bu yana devam ettiği değerlendirilen bu faaliyetler, e-ticaret altyapılarında yetki yükseltme ve oturum ele geçirme senaryolarını gerçeğe dönüştürüyor.

CVE-2026-111497 ve Brotli Trafiği Ne Anlama Geliyor?

CVE-2026-111497, 9.2 CVSS puanına sahip ve Google Brotli kod çözücü kitaplığındaki denetlenmeyen dönüş değerinden kaynaklanan bir bellek bozulması açığı. Kimliği doğrulanmamış uzak bir saldırgan, özel olarak hazırlanmış Brotli sıkıştırılmış bir akış kullanarak bitişik kod çözücü belleğini bozabiliyor, hassas bellek içeriklerini sızdırabiliyor, hizmet dışı bırakma (DoS) yaratabiliyor veya rastgele kod çalıştırabiliyor.

Tehdit istihbarat firması Previdian, honeypot sensörlerinde ABD tabanlı bir IP adresinden bu açığa yönelik ilk denemelerin tespit edildiğini bildirdi. Hızlı yanıt veren ELLIO ise Hollanda kökenli 94.154.43[.]7 IP adresinden gelen trafiğin, node v24.22.0 sürümünü hedefleyen gerçek ve yapılı bir Node2Shell sömürü girişimine ait olduğunu doğruladı. Brotli kütüphanesinin pek çok projede ortak olarak kullanılması, ekosistem genelinde acil bir yama yarışını tetikledi.

Bulut Ortamları ve Yazılım Ekosistemi İçin Riskler Neler?

Google bünyesindeki Wiz tarafından paylaşılan veriler, bulut güvenliğindeki zafiyetin boyutunu gözler önüne seriyor. Araştırmaya göre bulut ortamlarının yüzde 91’i CVE-2026-111497 açığına karşı savunmasız kaynaklar barındırırken, yüzde 82’si halka açık Node.js örnekleri çalıştırıyor.

Geniş çaplı dağılım nedeniyle birçok teknoloji devi ve açık kaynak projesi güncellemeler yayınladı. Aşağıdaki tabloda ana platformların bu süreçteki durumları yer alıyor:

Sysdig ekibinin analizine göre Node2Shell her Node.js servisinde otomatik bir hata yaratmıyor; sorun, saldırganların yönlendirdiği Brotli verilerini çözen servislerde ortaya çıkıyor. Özellikle varsayılan JSON ayrıştırma kullanan Express 5 uygulamaları bu risk grubunda yer alıyor. Federal Sivil Yürütme Organı (FCEB) ajansları için belirlenen son tarih olan 10 Kasım 2026’ya kadar tüm kurumların gerekli yamaları tamamlaması bekleniyor. Sistem yöneticilerinin ve geliştiricilerin, kullanılan kütüphanelerin Brotli ve zlib bağımlılıklarını acilen gözden geçirmesi kritik önem taşıyor.