Adobe Commerce ve Google Brotli Açıkları Aktif Saldırılarla İstismar Ediliyor

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Salı günü Adobe Commerce ve Magento platformlarını etkileyen bir güvenlik açığı ile Google'ın Brotli kod çözücü kütüphanesindeki bir başka açığı, aktif istismar kanıtlarına dayanarak Bilinen İstismar Edilen Güvenlik Açıkları (KEV) kataloğuna dahil etti. Her iki açık da dokuzun üzerinde CVSS puanıyla kritik seviyede değerlendiriliyor ve federal kurumların 10 Kasım 2026 tarihine kadar gerekli yamaları uygulaması zorunlu tutuluyor.

PolyShell Saldırıları Yüzlerce Mağazayı Vurdu​

CVE-2026-48356 olarak tanımlanan açık, CVSS puanı 9.3 ile Adobe Commerce ve Magento'yu etkiliyor. Tehdit araştırma firması Sansec, bu açığın "PolyShell" adıyla da bilindiğini ve saldırganların bunu kullanarak yüzlerce e-ticaret mağazasını ihlal ettiğini bildirdi. Saldırı zincirinde tehdit aktörleri, bir Magento CMS bloğu aracılığıyla kötü amaçlı bir yükleyici (loader) enjekte ediyor. Bu yükleyici, saldırganın kontrolündeki bir sunucudan ek zararlı yazılım çekip çalıştırmak üzere tasarlanmış; ancak şimdiye kadar herhangi bir sonraki aşama zararlı yazılım örneği ele geçirilememiş. Bu durum, kampanyanın nihai hedefini belirlemeyi güçleştiriyor. Söz konusu faaliyetin en az Temmuz 2025'ten bu yana sürdüğü değerlendiriliyor.
Teknik açıdan bakıldığında açık, tehlikeli türde dosyaların kısıtlama olmaksızın yüklenmesine olanak tanıyan bir zafiyet olarak tanımlanıyor. Başarılı bir istismar, mevcut kullanıcı bağlamında rastgele kod çalıştırılmasına ve potansiyel olarak kurbanın hesabı ya da oturumu üzerinde yükseltilmiş erişim elde edilmesine yol açabiliyor.

Brotli Açığı: Geniş Çaplı Bir Tehdit​

İkinci güvenlik açığı olan CVE-2026-111497, CVSS puanı 9.2 ile Google'ın Brotli kod çözücü kütüphanesinde yer alıyor. "Broccoli2Shell", "HTTP2Shell" ve "Node2Shell" gibi isimlerle de anılan bu açık, uzaktan kimlik doğrulaması yapılmadan bitişik kod çözücü durum belleğinin bozulmasına, hassas bellek içeriklerinin ifşa edilmesine, hizmet reddine ya da potansiyel olarak rastgele kod yürütülmesine zemin hazırlıyor. Tehdit istihbarat firması Previdian'ın telemetri verilerine göre 27 Ekim 2026 itibarıyla ABD merkezli bir IP adresinden honeypot sensörlerine yönelik bir istismar girişimi kayıt altına alındı.
Güvenlik firması ELLIO ise Pazartesi günü yaptığı açıklamada sensörlerinin vahşi ortamda CVE-2026-111497 istismar trafiği tespit ettiğini duyurdu. Söz konusu trafik, Hollanda'da coğrafi olarak konumlandırılmış "94.154.43[.]7" IP adresinden kaynaklanıyor. ELLIO, bu IP adresinin PHP'deki iki kritik açığı hedef alan PHP2Shell saldırılarıyla da ilişkili olduğunu belirtti. Firmaya göre saldırganın yükü, node v24.22.0 için hazırlanmış gerçek ve doğru yapılandırılmış bir Node2Shell istismar girişimini temsil ediyor; Brotli akışı, aşamalı yer değiştirme ve teslimat mekanizmasının kamuya açık araçlarla birebir örtüştüğü ifade edildi. ELLIO bu durumu, uzaktan kod yürütme özelliğinin kitlesel istismara odaklanan bir operatör tarafından benimsendiğine işaret eden bir gösterge olarak değerlendirdi.
Güvenlik firması Rapid7 konuya ilişkin şu açıklamayı yaptı: "Bir saldırgan, uygulamanın node:zlib ile sıkıştırmasını açtığı Brotli verisi sağlayabilirse işlem belleğini bozabilir. Node.js'e göre bu bozulma, işlemin çökmesine, hassas işlem belleğinin ifşasına veya uzaktan kod yürütülmesine yol açabilir. Maruz kalma durumu, uygulamanın saldırgan kontrolündeki sıkıştırılmış veriyi etkilenen kod çözücüye iletip iletmediğine bağlıdır."

Yaygın Kullanım Nedeniyle Acil Yama Süreci Başlatıldı​

Brotli'nin açık kaynaklı bir kütüphane olarak son derece geniş bir ekosisteme yayılmış olması, birçok yazılım sağlayıcısının acil yanıt vermesini zorunlu kıldı. PHP, 8.5.12-1, 8.4.27-1, 8.3.36-1 ve 8.2.35-1 sürümlerini yayımlarken Node.js, Bun, Envoy Proxy, Istio, .NET, Python, ClickHouse, PHP Brotli eklentisi ve Ruby "brotli" gem'i de yamalarını ya da etki değerlendirmelerini kamuoyuyla paylaştı. Bunlara ek olarak Amazon Linux, Cisco, Cloudflare, CloudLinux, F5, Fortinet, Imperva, Microsoft Azure, Palo Alto Networks, Qualys, Red Hat, Safe Security, Strapi, Tanium, Tenable, Ubuntu ve Upwind da konuya ilişkin güvenlik bildirimleri yayımladı.
Güvenlik firması Akamai, Node.js'in güvenlik açığını 22.23.4, 24.22.1 ve 26.12.1 sürümlerinde kapattığını bildirdi ve Node.js'in resmi tavsiyesinde herhangi bir geçici çözüm sunulmadığını, dolayısıyla güncellemenin tek tam çözüm olduğunu vurguladı. Akamai, kullanımdan kaldırılmış bir sürüm kullanan kuruluşların desteklenen bir sürüm hattına geçmesi gerektiğini de ekledi.
Google bünyesindeki Wiz, bulut ortamlarındaki tehdit yüzeyini rakamlarla ortaya koydu: Bulut ortamlarının yüzde 91'inin CVE-2026-111497'ye karşı savunmasız kaynaklara sahip olduğunu, yüzde 82'sinin ise kamuya açık Node.js örnekleri barındırdığını açıkladı. Sysdig ise açığın her Node.js hizmetinde değil, yalnızca saldırgan etkisindeki Brotli verisini çözümleyen hizmetlerde geçerli olduğunu hatırlattı ve Express 5'in varsayılan JSON ayrıştırmasıyla büyük sayıda örneği bu gruba dahil ettiğini belirterek yama önceliğinin erişilebilirliğe göre belirlenmesi gerektiğini tavsiye etti.

Sıkça Sorulan Sorular​

CISA KEV kataloğuna hangi güvenlik açıkları eklendi?​

CISA, Adobe Commerce ve Magento'yu etkileyen CVE-2026-48356 (CVSS 9.3) ile Google Brotli kütüphanesini etkileyen CVE-2026-111497'yi (CVSS 9.2) aktif istismar kanıtlarına dayanarak KEV kataloğuna ekledi.

PolyShell saldırılarında saldırganlar hangi yöntemi kullandı?​

Sansec'in tespitlerine göre saldırganlar CVE-2026-48356 açığını kullanarak yüzlerce e-ticaret mağazasını ihlal etti ve bir Magento CMS bloğu aracılığıyla kötü amaçlı bir yükleyici enjekte etti. Bu yükleyici, saldırgan kontrolündeki bir sunucudan ek yük çekip çalıştırmak üzere tasarlanmıştı; ancak şimdiye kadar herhangi bir sonraki aşama zararlı yazılım örneğine ulaşılamadı.

CVE-2026-111497 Brotli açığına yönelik vahşi ortamda istismar girişimi kaydedildi mi?​

Evet. Previdian'ın honeypot sensörleri 27 Ekim 2026 itibarıyla ABD merkezli bir IP adresinden bir istismar girişimi kayıt altına aldı. ELLIO ise Hollanda'da konumlandırılmış bir IP adresinden gelen ve doğru yapılandırılmış Node2Shell istismar trafiği tespit ettiğini açıkladı.

Brotli açığından etkilenen Node.js sürümleri için yama mevcut mu?​

Evet. Node.js, güvenlik açığını 22.23.4, 24.22.1 ve 26.12.1 sürümlerinde kapattı. Akamai'ye göre resmi tavsiyede herhangi bir geçici çözüm sunulmadığından güncelleme tek tam çözüm olarak öne çıkıyor.

Federal kurumlar için yama uygulama son tarihi ne zaman?​

CISA, Federal Sivil Yürütme Organı (FCEB) kurumlarının her iki güvenlik açığı için gerekli yamaları 10 Kasım 2026 tarihine kadar uygulamasını zorunlu kıldı.