Drupal Commerce Core'da Kritik Güvenlik Açığı Aktif Olarak İstismar Ediliyor

Drupal, açık kaynaklı içerik yönetim çerçevesinin Commerce Core bileşeninde tespit edilen ve "son derece kritik" olarak nitelendirilen bir güvenlik açığının aktif saldırılara konu olduğunu duyurdu. CVE-2026-118539 takip numarasıyla kayıt altına alınan açık, eksik yetkilendirme (missing authorization) sınıfında yer alıyor ve 0.0.0 ile 2.41 arasındaki sürümleri ile 3.0.0 ile 3.3.13 arasındaki sürümleri etkiliyor.

Açık Nedir ve Hangi Sürümleri Etkiliyor?​

Commerce Core modülü, işletmelerin entegre bir alışveriş sepeti ve ödeme formu aracılığıyla ya da API'ler üzerinden bağımsız uygulamalarla müşterilerine mal ve hizmet satmasına olanak tanıyor. Drupal'ın yayımladığı güvenlik danışma belgesine göre modül, belirli rotaları ve varlık alanlarını (entity fields) yeterince koruyamıyor. Bu durum, bir erişim atlatma güvenlik açığına yol açıyor ve satıcıları finansal açıdan olumsuz etkileyebiliyor.
Açığın CVSS puanı henüz kamuoyuyla paylaşılmadı. Drupal, güvenlik açığının "vahşi ortamda aktif biçimde istismar edildiğini" kabul etmekle birlikte saldırıların niteliği veya kampanyanın boyutu hakkında herhangi bir ayrıntı vermedi.

Güncelleme Tavsiyeleri​

Drupal, etkilenen kullanıcılara sistemlerini derhal güncellemelerini öneriyor. Buna göre 3.x sürümünü kullananların Commerce Core 3.3.13 sürümüne, daha eski sürümleri kullananların ise Commerce Core 8.x-2.41 sürümüne geçmesi gerekiyor. Güvenlik açığını keşfeden ve Drupal'a bildiren araştırmacılar Dan Puccetti (dpuccetti), Marcus Johansson (marcus_johansson) ve Robert Snyder (rsnyd) olarak açıklandı.

PHP2Shell Açıkları da Aktif Saldırı Altında​

Bu gelişme, PHP'de tespit edilen ve PHP2Shell adıyla anılan iki kritik güvenlik açığıyla (CVE-2026-109618 ve CVE-2026-109619) aynı döneme denk geliyor. Her ikisi de 9.2 CVSS puanı taşıyan bu açıklar da vahşi ortamda aktif istismar girişimleriyle karşı karşıya. Google bünyesindeki bulut güvenlik şirketi Wiz'in verilerine göre 25 Ekim itibarıyla PHP2Shell'den önemli ölçüde etkilenen kuruluşların oranı yüzde 52,1'e geriledi.
Wiz, şimdiye kadar iki farklı saldırı türü gözlemlediğini açıkladı. Birincisi, kamuya açık kavram kanıtı (PoC) istismarlarıyla örtüşen PHP2Shell istismar mekanizmasını kullanan girişimler. İkincisi ise güvenlik açıklarıyla doğrudan ilişkili olmayan, bunun yerine oturum zehirlenmesi (session poisoning) ve uygulamadaki ayrı bir yerel dosya dahil etme (LFI) açığına dayanan "PHP2Shell markalı" araçlar.
Wiz araştırmacıları Yaara Shriki, Shahar Dorfman, Alma Blachsan ve Yaron Samuel, yalnızca bellek tükenmesini tetiklemenin istismar zincirini tamamlamak için yeterli olmadığını vurguladı. PHP derlemelerindeki, bellek limitlerindeki ve worker davranışındaki farklılıkların sonraki aşamaların çalışmasını engelleyebildiğini belirten araştırmacılar, fırsatçı saldırganlar için asıl güçlüğün mevcut PoC'leri güvenilir operasyonel araçlara dönüştürmek ya da bağımsız olarak geliştirmek olduğunu ifade etti.

Sıkça Sorulan Sorular​

CVE-2026-118539 güvenlik açığı hangi Drupal sürümlerini etkiliyor?​

Açık, Commerce Core'un 0.0.0 ile 2.41 arasındaki sürümlerini ve 3.0.0 ile 3.3.13 arasındaki sürümlerini etkiliyor.

Drupal Commerce Core'daki açık ne tür bir tehdide yol açıyor?​

Modülün belirli rotaları ve varlık alanlarını yeterince koruyamaması nedeniyle oluşan erişim atlatma açığı, satıcıları finansal açıdan olumsuz etkileyebilecek bir güvenlik riski oluşturuyor.

Etkilenen kullanıcılar nasıl korunabilir?​

Drupal, 3.x sürümü kullananların Commerce Core 3.3.13'e, daha eski sürüm kullananların ise Commerce Core 8.x-2.41'e güncelleme yapmasını öneriyor.

CVE-2026-118539'u kimler keşfetti?​

Güvenlik açığını keşfedip Drupal'a bildiren araştırmacılar Dan Puccetti (dpuccetti), Marcus Johansson (marcus_johansson) ve Robert Snyder (rsnyd) olarak açıklandı.

PHP2Shell açıkları nelerdir ve hangi kuruluşları etkiliyor?​

PHP2Shell, PHP'de tespit edilen CVE-2026-109618 ve CVE-2026-109619 numaralı iki kritik açığın ortak adıdır. Her ikisi de 9.2 CVSS puanı taşıyor ve vahşi ortamda aktif istismar girişimleriyle karşılaşıyor. Wiz verilerine göre 25 Ekim itibarıyla bu açıklardan önemli ölçüde etkilenen kuruluşların oranı yüzde 52,1 olarak ölçüldü.