Adobe Commerce ve Google Brotli Açıkları Aktif Saldırılarda: CISA Harekete Geçti

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Adobe Commerce ile Magento'yu ve Google'ın Brotli kod çözücü kütüphanesini etkileyen iki güvenlik açığını, aktif istismar kanıtlarını gerekçe göstererek Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna ekledi. Federal Sivil Yürütme Organı (FCEB) kurumlarına her iki açık için 10 Kasım 2026 tarihine kadar gerekli yamaları uygulama zorunluluğu getirildi.

İki Kritik Açık: PolyShell ve Broccoli2Shell​

Kataloga eklenen açıklardan ilki, CVE-2026-48356 kodu ve 9.3 CVSS puanıyla PolyShell olarak da bilinen Adobe Commerce ve Magento güvenlik açığıdır. Tehlikeli türde dosya yüklemeye olanak tanıyan bu açık, mevcut kullanıcı bağlamında rastgele kod çalıştırılmasına, hesap veya oturum üzerinde yükseltilmiş erişim ya da kontrol elde edilmesine yol açabilmektedir.
İkinci açık ise CVE-2026-111497 kodu ve 9.2 CVSS puanıyla Broccoli2Shell, HTTP2Shell ve Node2Shell adlarıyla da anılan Google Brotli güvenlik açığıdır. Brotli kütüphanesindeki kontrol edilmemiş dönüş değeri zafiyeti, uzaktaki kimliği doğrulanmamış bir saldırganın komşu kod çözücü durum belleğini bozmasına, hassas bellek içeriklerini açığa çıkarmasına, hizmet reddi saldırısı gerçekleştirmesine ya da özel hazırlanmış bir Brotli sıkıştırılmış akış aracılığıyla potansiyel olarak rastgele kod yürütmesine imkân tanımaktadır.

Yüzlerce E-Ticaret Mağazası İhlal Edildi​

Güvenlik firması Sansec, saldırganların CVE-2026-48356 açığını kullanarak yüzlerce e-ticaret mağazasını ihlal ettiğini ve bir Magento CMS bloğu aracılığıyla kötü amaçlı bir yükleyici enjekte ettiğini bildirdi. Söz konusu yükleyici, saldırgan tarafından kontrol edilen bir yükü getirip çalıştırmak üzere tasarlanmış olmakla birlikte, şimdiye kadar herhangi bir sonraki aşama kötü amaçlı yazılım ele geçirilemedi. Bu durum, kampanyanın tam hedeflerini belirlemeyi güçleştirmektedir. Faaliyetin en az Temmuz 2025'ten bu yana sürdüğü değerlendirilmektedir.

Brotli Açığında İlk İstismar Girişimleri Kayıt Altına Alındı​

Tehdit istihbarat firması Previdian'ın telemetri verileri, CVE-2026-111497 için 27 Ekim 2026 itibarıyla ABD merkezli bir IP adresinden bal küpü sensörlerine yönelik bir istismar girişimi kaydedildiğini ortaya koydu. Bu çabaların ne ölçüde yaygın olduğu henüz bilinmemektedir.
ELLIO ise Pazartesi günü yayımladığı açıklamada sensörlerinin bu açığa yönelik gerçek ortamda istismar trafiği kaydettiğini belirtti. Söz konusu aktivite, Hollanda'ya coğrafi olarak konumlandırılmış "94.154.43[.]7" IP adresinden kaynaklanmakta olup bu adresin PHP'yi etkileyen iki kritik açığı hedef alan PHP2Shell istismar girişimlerine de karıştığı tespit edildi. ELLIO, saldırganın yükünün node v24.22.0 için gerçek ve doğru yapılandırılmış bir Node2Shell istismar girişimi niteliğinde olduğunu ve bunun kamuya açık araçlarla özdeş olduğunu vurguladı. Güvenlik firması bu durumu, söz konusu uzaktan kod yürütme açığının toplu istismar odaklı bir operatör tarafından benimsendiğinin göstergesi olarak değerlendirdi.
Rapid7 ise konuya ilişkin şu değerlendirmede bulundu: "Bir uygulamanın node:zlib ile sıkıştırmasını çözdüğü Brotli verisini tedarik edebilen bir saldırgan, işlem belleğini bozabilir. Node.js'e göre bu bozulma, işlem çökmesine, hassas işlem belleğinin açığa çıkmasına ya da uzaktan kod yürütülmesine neden olabilir. Maruz kalma durumu, uygulamanın saldırgan kontrolündeki sıkıştırılmış veriyi etkilenen kod çözücüye iletip iletmediğine bağlıdır."

Geniş Ekosistem Acil Yanıt Verdi​

Brotli'nin geniş çaplı kullanımı, birçok satıcıyı acil yanıt vermeye yöneltti. Node.js, açığı 22.23.4, 24.22.1 ve 26.12.1 sürümlerinde giderdi. PHP ise 8.5.12-1, 8.4.27-1, 8.3.36-1 ve 8.2.35-1 sürümlerini yayımladı. Bunların yanı sıra Bun, Envoy Proxy, Istio, .NET, Python, ClickHouse, PHP Brotli eklentisi ve Ruby "brotli" gem'i de yamalarını ya da etkilenme değerlendirmelerini kamuoyuyla paylaştı. Amazon Linux, Broadcom, Cisco, Cloudflare, CloudLinux, F5, Fortinet, Imperva, Microsoft Azure, Palo Alto Networks, Qualys, Red Hat, Safe Security, Strapi, Tanium, Tenable, Ubuntu ve Upwind da bu süreçte güvenlik duyurusu yayımlayan kuruluşlar arasında yer aldı.
Akamai, Node.js için geçici bir geçici çözümün bulunmadığını ve yükseltmenin tek tam çözüm olduğunu belirterek kullanımdan kaldırılmış bir sürüm hattında çalışan kuruluşların desteklenen bir sürüm hattına geçmesi gerektiğini vurguladı. Google bünyesindeki Wiz ise bulut ortamlarının yüzde 91'inin CVE-2026-111497'ye karşı savunmasız kaynaklara sahip olduğunu ve bulut ortamlarının yüzde 82'sinin kamuya açık Node.js örneklerine sahip olduğu konusunda uyardı.
Sysdig de açığın her Node.js hizmetinde değil, saldırgan tarafından etkilenen Brotli verisini çözen hizmetlerde bulunduğunu hatırlatarak Express 5'in varsayılan JSON ayrıştırmasıyla çok sayıda örneği bu gruba dahil ettiğini aktardı. Firma, yama önceliğinin erişilebilirliğe göre belirlenmesi gerektiğini de sözlerine ekledi.

Sıkça Sorulan Sorular​

PolyShell saldırıları kaç e-ticaret mağazasını etkiledi?​

Sansec'in bulgularına göre saldırganlar, CVE-2026-48356 (PolyShell) açığını kullanarak yüzlerce e-ticaret mağazasını ihlal etti ve bu mağazalara bir Magento CMS bloğu aracılığıyla kötü amaçlı yükleyici enjekte etti.

CVE-2026-111497 Brotli açığı hangi sistemleri tehdit ediyor?​

Açık, saldırgan tarafından etkilenen Brotli verisini çözen uygulamaları tehdit etmektedir. Wiz'in verilerine göre bulut ortamlarının yüzde 91'i bu açığa karşı savunmasız kaynaklara, yüzde 82'si ise kamuya açık Node.js örneklerine sahiptir.

FCEB kurumlarının yamaları uygulaması için son tarih nedir?​

CISA, Federal Sivil Yürütme Organı (FCEB) kurumlarına her iki açık için gerekli yamaları 10 Kasım 2026 tarihine kadar uygulamaları zorunluluğunu getirdi.

Brotli açığına yönelik istismar trafiği nereden kaynaklanıyor?​

ELLIO'nun sensörleri, Hollanda'ya coğrafi olarak konumlandırılmış "94.154.43[.]7" IP adresinden kaynaklanan CVE-2026-111497 istismar trafiği kaydetmiştir. Aynı IP adresinin PHP'yi etkileyen kritik PHP2Shell açıklarını hedef alan girişimlere de karıştığı tespit edilmiştir.

Node.js için Brotli açığına karşı geçici bir çözüm var mı?​

Akamai'ye göre Node.js güvenlik duyurusu herhangi bir geçici çözüm sunmamaktadır; tek tam çözüm 22.23.4, 24.22.1 veya 26.12.1 gibi yamayı içeren sürümlere yükseltme yapmaktır. Kullanımdan kaldırılmış sürüm hatlarında çalışan kuruluşların desteklenen bir sürüm hattına geçmesi önerilmektedir.