Drupal Commerce Core'da Kritik Yetkilendirme Açığı Aktif Olarak İstismar Ediliyor

Drupal, açık kaynaklı içerik yönetim çatısının Commerce Core bileşeninde tespit edilen ve "yüksek derecede kritik" olarak sınıflandırılan bir güvenlik açığının tehdit aktörleri tarafından aktif biçimde kullanıldığını duyurdu. CVE-2026-118539 olarak takip edilen açığa henüz bir CVSS puanı atanmamış olsa da Drupal, durumun aciliyetini vurgulayan resmi bir güvenlik danışmanlığı yayımladı.

Açık Hangi Sürümleri Etkiliyor?​

Söz konusu güvenlik açığı, Commerce Core'un 0.0.0 ile 2.41 arasındaki sürümlerini ve 3.0.0 ile 3.3.13 arasındaki sürümlerini etkiliyor. Drupal'ın danışmanlık belgesinde modülün işlevi şöyle açıklandı: "Bu modül, entegre bir alışveriş sepeti ve ödeme formu aracılığıyla ya da API'ler üzerinden ayrıştırılmış uygulamalar yoluyla müşterilere mal ve hizmet satmanızı sağlar."
Açığın teknik niteliği, eksik yetkilendirme (missing authorization) olarak tanımlanıyor. Drupal'ın açıklamasına göre modül, belirli rotaları ve varlık alanlarını yeterince koruyamıyor; bu durum, satıcıyı finansal açıdan olumsuz etkileyebilecek bir erişim bypass'ına zemin hazırlıyor. Açığın vahşi ortamda aktif biçimde istismar edildiği teyit edilmekle birlikte Drupal, saldırıların niteliği veya kampanyanın boyutu hakkında herhangi bir ayrıntı paylaşmadı.

Önerilen Güncellemeler​

Drupal, etkilenen sistemlerin bir an önce güncellenmesini tavsiye ediyor. 3.x serisini kullananların Commerce Core 3.3.13 sürümüne, daha eski sürümleri kullananların ise Commerce Core 8.x-2.41 sürümüne geçmesi gerekiyor. Açığı keşfeden ve Drupal'a bildiren araştırmacılar arasında Dan Puccetti (dpuccetti), Marcus Johansson (marcus_johansson) ve Robert Snyder (rsnyd) yer alıyor.

PHP2Shell Açıklarında da Aktif İstismar Girişimleri​

Drupal uyarısının gündeme gelmesiyle eş zamanlı olarak PHP'de de iki kritik güvenlik açığı dikkat çekiyor. CVE-2026-109618 ve CVE-2026-109619 kodlarıyla takip edilen ve toplu olarak PHP2Shell adıyla anılan bu açıkların her ikisi de 9,2 CVSS puanı taşıyor ve vahşi ortamda aktif istismar girişimleriyle karşı karşıya.
Google bünyesindeki bulut güvenlik şirketi Wiz'in verilerine göre, 25 Ekim itibarıyla PHP2Shell açığından önemli ölçüde etkilenen kuruluşların oranı yüzde 52,1'e geriledi. Wiz, şimdiye kadar iki farklı faaliyet türü gözlemlediğini açıkladı. Bunlardan ilki, kamuya açık kavram kanıtı (PoC) exploitleriyle örtüşen PHP2Shell istismar mekanizmasını kullanan girişimler. İkincisi ise açıklarla doğrudan ilgisi olmayan, bunun yerine oturum zehirlenmesi ve uygulamadaki ayrı bir yerel dosya dahil etme (LFI) açığına dayanan "PHP2Shell markalı araçlar" olarak nitelendirilen faaliyetler.
Wiz araştırmacıları Yaara Shriki, Shahar Dorfman, Alma Blachsan ve Yaron Samuel konuya ilişkin şu değerlendirmede bulundu: "Gözlemlerimiz, yalnızca bellek tükenmesini tetiklemenin istismar zincirini tamamlamak için yeterli olmadığını gösteriyor. PHP derlemeleri, bellek sınırları ve işçi davranışındaki farklılıklar, sonraki aşamaların çalışmasını engelleyebiliyor. Fırsatçı saldırganlar için asıl zorluk, mevcut kamuya açık PoC'leri benzer biçimde güvenilir operasyonel araçlara dönüştürmek ya da bunu bağımsız olarak geliştirmek."

Sıkça Sorulan Sorular​

CVE-2026-118539 açığı hangi Drupal sürümlerini etkiliyor?​

Açık, Drupal Commerce Core'un 0.0.0 ile 2.41 arasındaki sürümlerini ve 3.0.0 ile 3.3.13 arasındaki sürümlerini etkiliyor.

Drupal bu güvenlik açığını kapatmak için ne yapılmasını öneriyor?​

Drupal, 3.x serisini kullananların Commerce Core 3.3.13 sürümüne, daha eski sürümleri kullananların ise Commerce Core 8.x-2.41 sürümüne güncellemesini tavsiye ediyor.

CVE-2026-118539 açığı satıcıları nasıl etkileyebilir?​

Drupal'ın açıklamasına göre modül, belirli rotaları ve varlık alanlarını yeterince koruyamadığından bir erişim bypass'ına neden oluyor; bu durum satıcıları finansal açıdan olumsuz etkileyebilir.

PHP2Shell nedir ve hangi açıkları kapsıyor?​

PHP2Shell, PHP'deki CVE-2026-109618 ve CVE-2026-109619 kodlu iki kritik güvenlik açığının ortak adıdır. Her iki açık da 9,2 CVSS puanı taşıyor ve vahşi ortamda aktif istismar girişimleriyle karşılaşıyor.

Drupal Commerce Core açığını kimler keşfetti?​

Açık, Dan Puccetti (dpuccetti), Marcus Johansson (marcus_johansson) ve Robert Snyder (rsnyd) tarafından keşfedilerek Drupal'a bildirildi.