Hızlı Özet
- Drupal Commerce Core bileşeninde kritik bir yetki atlatma açığı tespit edildi ve saldırganlar tarafından aktif olarak sömürülüyor.
- Güvenlik açığı, 0.0.0 – 2.41 ve 3.0.0 – 3.3.13 sürümleri arasındaki Commerce Core paketlerini etkiliyor.
- Sorun, belirli rota ve varlık alanlarının yeterince korunmamasından kaynaklanarak doğrudan satıcıların mali kayıp yaşamasına yol açabiliyor.
- Geliştiriciler, kullanıcıların acilen Version 3.x için Commerce Core 3.3.13 veya önceki sürümler için 8.x-2.41 sürümüne yükseltme yapmasını öneriyor.
Açık kaynaklı içerik yönetim çerçevesi Drupal, e-ticaret altyapısını kullanan site sahiplerini doğrudan ilgilendiren kritik bir güvenlik alarmı verdi. Alınan bilgilere göre, e-ticaret sitelerinin alışveriş sepeti, ödeme formları ve API tabanlı ayrıştırılmış uygulamalar üzerinden mal ve hizmet satmasını sağlayan Commerce Core bileşeninde bir yetki atlatma (authorization bypass) açığı bulunuyor.
| Parametre | Detay |
|---|---|
| Etkilenen Bileşen | Drupal Commerce Core |
| Etkilenen Sürümler | 0.0.0 – 2.41 ve 3.0.0 – 3.3.13 arası |
| Önerilen Güncellemeler | Commerce Core 3.3.13 veya 8.x-2.41 |
| Güvenlik Açığı Türü | Eksik Yetkilendirme (Missing Authorization) |
| Bildiren Araştırmacılar | Dan Puccetti, Marcus Johansson, Robert Snyder |
Güvenlik Açığı Kimleri Hedef Alıyor?
Bu açık, doğrudan çevrim içi mağaza işleten platform sahiplerini ve satıcıları etkiliyor. Modülün belirli yönlendirme yollarını ve veri varlığı alanlarını yeterince koruyamaması, yetkisiz kişilerin sisteme sızmasına ve ticari operasyonların finansal açıdan zarar görmesine zemin hazırlıyor. Drupal, bu güvenlik açığının halihazırda saldırganlarca aktif biçimde kötüye kullanıldığını doğrulasa da, saldırıların boyutu veya kimler tarafından yürütüldüğüne dair henüz detaylı bir bilgi paylaşmadı.
Saldırı dalgası, yazılım geliştiricileri Dan Puccetti (dpuccetti), Marcus Johansson (marcus_johansson) ve Robert Snyder (rsnyd) üçlüsünün açığı raporlamasının ardından resmiyet kazandı. E-ticaret altyapısında bu modülü kullanan yöneticilerin, siber saldırganların hedefi olmamak adına vakit kaybetmeden yama uygulaması gerekiyor.
Eksik Yetkilendirme Mekanizmalarının Teknik Arka Planı
Commerce Core bileşenindeki güvenlik açığı, yazılım mimarisinde erişim kontrol listelerinin belirli uç noktalarda (endpoint) devre dışı kalması veya hiç tanımlanmamış olmasıyla ortaya çıkıyor. Modülün alışveriş sepeti işlevleri ile API tabanlı decoupled mimarileri destekleyen yapıları, kimlik doğrulama adımlarını atlayarak doğrudan arka uç varlıklarına erişilmesine olanak tanıyabiliyor. Bu durum, saldırganların e-ticaret sitelerinin veri tabanındaki hassas sipariş veya müşteri alanlarına yetkisiz komutlar göndermesini kolaylaştırıyor.
Güvenliğe Karşı Güncel Tehditler Arasındaki Yeri
Benzer dönemde PHP tabanlı CVE-2026-109618 ve CVE-2026-109619 kodlu 9.2 CVSS skoruna sahip iki kritik açık (PHP2Shell) da aktif sömürü girişimleriyle gündemde yer alıyor. Google bünyesindeki Wiz verilerine göre, PHP2Shell kurbanı olan kuruluşların oranı ekim sonunda %52.1 seviyesine gerilemiş durumda. Saldırganların bir kısmı halka açık kavram kanıtı (PoC) araçlarını kullanırken, bazıları ise oturum zehirleme ve yerel dosya dahil etme (LFI) açıklarını barındıran farklı markalı araçlara başvuruyor.
Güvenlik uzmanları, genel bellek tükenmesini tetiklemenin tek başına sömürü zincirini tamamlamak için yeterli olmadığını, farklı PHP yapıları ve bellek sınırlarının saldırı adımlarını zorlaştırabildiğini belirtiyor. Fırsatçı saldırganların önündeki en büyük engel ise mevcut halka açık PoC kodlarını güvenilir operasyonel araçlara dönüştürmek.
Site Yöneticileri İçin Yapılması Gerekenler
Drupal Commerce Core kullanan bir web sitesine sahipseniz, atmanız gereken en somut ve acil adım sürüm kontrolü yapmaktır. Eğer siteniz 3.x serisindeyse Commerce Core 3.3.13 sürümüne, eski serideki 8.x sürümlerinden birini kullanıyorsanız Commerce Core 8.x-2.41 sürümüne acilen geçiş yapmalısınız. Güncellemeyi ertelemek, doğrudan finansal kayıplara yol açabilecek yetkisiz erişim denemelerine kapı aralayabilir.
Kaynak: The Hacker News
