Drupal, e-ticaret modülü Commerce Core'da kimlik doğrulaması gerektirmeyen kritik bir erişim açığı için acil yama yayımladı. Açık aktif olarak sömürülüyor ve yaklaşık 30 bin mağazayı ilgilendiriyor.
Drupal, e-ticaret altyapısı olarak kullanılan Commerce Core modülünde kritik bir güvenlik açığı için acil güncelleme yayımladı. CVE-2026-118539 kodlu açık, Drupal'ın kendi risk ölçeğinde 25 üzerinden 21 puanla "highly critical" olarak sınıflandırıldı ve Drupal'ın duyurusuna göre halihazırda aktif olarak sömürülüyor.
Açık ne yapıyor?
Commerce Core, bazı rotaları ve varlık (entity) alanlarını yeterince korumuyor. Sonuç, klasik bir yetkilendirme eksikliği: saldırganın oturum açmasına, bir hesabı ele geçirmesine veya özel bir yetkiye sahip olmasına gerek yok. Kimliği doğrulanmamış biri, normalde erişemeyeceği sayfaları ve verileri isteyebiliyor; Drupal bazı verilerin okunabildiğini ve bazı verilerin değiştirilebildiğini belirtiyor. Hangi rotaların ve alanların etkilendiği, sömürüyü yaygınlaştırmamak için açıklanmadı.
Pratikte bu, bir çevrimiçi mağazada sipariş kayıtlarının, müşteri bilgilerinin veya fiyat alanlarının yetkisiz kişilerce görülmesi ya da değiştirilmesi anlamına gelebilir. Drupal, yama sonrası mağaza sahiplerine siparişlerin beklenmeyen fiyat, toplam tutar veya durum değişiklikleri açısından denetlenmesini öneriyor — bu uyarı, saldırının ticari zarar üretebildiğine işaret ediyor.
Kimler etkileniyor?
- Etkilenen sürümler: 8.x-2.41 öncesi tüm 2.x sürümleri ve 3.3.13 öncesi tüm 3.x sürümleri.
- Yamalı sürümler: 8.x-2.41 ve 3.3.13. Her ikisi de 28 Ekim 2026'dan beri yayında ve aynı zamanda daha düşük önemde beş açığı daha kapatıyor.
- Ölçek: 18 Ekim itibarıyla 42.002 site Commerce Core kullandığını bildiriyordu; bunların 13.028'i 2.x, 17.019'u 3.x dalındaydı. Yani yaklaşık 30 bin mağaza doğrudan risk kapsamında.
- Kapsam dışı: Drupal 7 üzerinde çalışan 1.x sürümleri bu duyurunun kapsamında değil. Ancak Drupal 7, Ocak 2025'ten bu yana hiç güvenlik güncellemesi almıyor; bu siteler zaten daha büyük bir risk taşıyor.
Türkiye ve KOBİ tarafındaki karşılığı
Türkiye'de birçok KOBİ'nin kurumsal sitesi ve çevrimiçi mağazası, yıllar önce bir ajansa yaptırılmış ve o günden beri yalnızca içerik güncellemesi almış durumda. Modül güncellemelerini kimin takip ettiği çoğu zaman belirsizdir. Oysa burada söz konusu olan sadece bir web sitesi sorunu değil: sipariş ve müşteri verisine yetkisiz erişim, 6698 sayılı Kanun kapsamında bir kişisel veri ihlalidir ve veri sorumlusunun ihlali öğrendiği andan itibaren 72 saat içinde Kurul'a bildirimde bulunması gerekir. Ajans sözleşmesi çoktan sona ermiş, hosting başka bir firmadaysa ve modül güncellemeleri için kimsenin sorumluluğu yazılı olarak tanımlanmamışsa, böyle bir açık genellikle ancak maddi zarar ortaya çıktıktan sonra fark edilir. O noktada hem ticari kayıp hem de bildirim yükümlülüğü aynı anda masada olur.
Kamer Bilişim olarak ne öneriyoruz?
- Bugün sürümünüzü kontrol edin ve yamayı uygulayın. Commerce Core 3.x kullanıyorsanız 3.3.13'e, 2.x kullanıyorsanız 8.x-2.41'e yükseltin. Aktif sömürülen bir açıkta bakım penceresini beklemek, ertelenebilir bir karar değildir.
- Yamadan sonra geriye dönük sipariş denetimi yapın. Yama yalnızca bundan sonrasını korur. Son haftaların siparişlerinde beklenmeyen fiyat, indirim, toplam tutar veya durum değişikliği olup olmadığını ve web sunucusu erişim kayıtlarında olağandışı istekler bulunup bulunmadığını inceleyin.
- Site altyapınızı bakım kapsamına alın. CMS çekirdeği, modüller, PHP sürümü ve yedekler için sorumluluğu yazılı olarak tanımlayın. Güncellemelerin kimin görevi olduğu belirsizse, pratikte kimsenin görevi değildir.
Drupal, WordPress veya başka bir altyapıda çalışan kurumsal sitenizin güncellik durumunu gözden geçirmemizi isterseniz, İstanbul Anadolu Yakası genelinde yerinde ve uzaktan destek veriyoruz. İletişim sayfamızdan bize ulaşabilirsiniz.
Kaynak: Drupal güvenlik duyurusu (SA-CONTRIB-2026-254) ve ITdaily, 30 Ekim 2026
Kaynak: ITdaily